4
Algemene verordening gegevensbescherming
Aan de orde is de behandeling van:
- het wetsvoorstel Regels ter uitvoering van Verordening
(EU) 2016/679 van het Europees Parlement en de Raad van
27 april 2016 betreffende de bescherming van natuurlijke
personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens
en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PbEU 2016, L 119) (Uitvoeringswet Algemene verordening gegevensbescherming) (
34851 ).
De voorzitter:
Wij gaan praten over de Uitvoeringswet Algemene verordening gegevensbescherming. Een hartelijk woord van welkom aan de minister. Fijn dat u weer bij ons bent. Wij hebben voor dit debat zes sprekers van de zijde van de Kamer.
De eerste spreker is mevrouw Buitenweg van de fractie van
GroenLinks. Ik geef haar het woord. Zij heeft een spreektijd
aangevraagd van tien minuten. Het woord is aan haar.
De algemene beraadslaging wordt geopend.

Mevrouw Buitenweg (GroenLinks):
Dank u, meneer de voorzitter. Wij behandelen vandaag het
wetsvoorstel ter uitvoering in Nederland van de Europese
verordening gegevensbescherming. Die verordening is het
resultaat van lange onderhandelingen tussen het Europees
Parlement en de Raad. De Tweede Kamer heeft dit proces
kunnen beïnvloeden via de Nederlandse minister in de
Raad. Nu rest ons invulling te geven aan de ruimte die de
Europese wetgever ons heeft geboden. Het is bijzonder dat
de wettelijke normen om een mensenrecht te realiseren —
daar gaat het om: privacy — voor het grootste deel op het
Europese niveau worden bepaald, niet nationaal. Dit is een
goed moment om aan terug te denken, als over ruim een
jaar de Europese verkiezingen worden gehouden. Het gaat
ergens over in Brussel.
Het doel van deze verordening is om de rechten van burgers
uit te breiden, om privacyregels te moderniseren in een
setting waarin de technologische ontwikkelingen ontzettend
snel gaan en om het opereren van bedrijven op de interne
markt te vergemakkelijken door voor alle lidstaten een
gelijkwaardig minimumniveau aan bescherming vast te
leggen. Wat GroenLinks betreft is de nieuwe verordening
een verbetering ten opzichte van de huidige privacyregels.
Burgers krijgen meer zeggenschap over hun eigen gegevens. Wie persoonsgegevens verwerkt, moet voortaan eerst
aan de betrokkenen toestemming vragen en uitleggen
waarvoor en hoe de persoonsgegevens nodig zijn. Mensen
mogen met deze verordening vragen dat hun gegevens
gewist worden: het mooi geformuleerde recht om vergeten
te worden. Gegevensverwerkers moeten bereid zijn om
persoonsgegevens beschikbaar te stellen aan betrokkenen
om elders te gebruiken, de dataportabiliteit.
Voorzitter. Wij hebben ook nog wel wat wensen en
opmerkingen en die zal ik vandaag voorleggen. Hoewel de

Tweede Kamer

Algemene verordening
gegevensbescherming

nationale manoeuvreerruimte beperkt is, is het goed om
de verordening vandaag uitgebreid te bespreken, zodat wij
maar vooral ook alle bedrijven en organisaties die data
verwerken en burgers die hun recht willen uitoefenen precies weten wat de verordening inhoudt. Laat ik beginnen
met een onderwerp waar de nationale wetgever voldoende
ruimte heeft en dat ik deze week thuis uitvoerig heb
besproken: de leeftijdsgrens vanaf wanneer kinderen zonder
toestemming van hun ouders mogen instemmen met het
verwerken van hun persoonsgegevens. In andere woorden:
de minimumleeftijd voor het autonoom mogen downloaden
van een app, het abonneren op een onlinenieuwsbrief of
zelfs het zelfstandig mogen googelen.
De Europese verordening laat het aan de lidstaten om een
minimumleeftijd te kiezen zolang die niet jonger is dan 13
jaar. Nederland heeft ervoor gekozen om de minimumleeftijd niet te veranderen ten opzichte van nu. Beleidsneutraal
heet dat. Wij houden het op 16 jaar. Maar omdat de setting
verandert, omdat nu voor alles expliciet toestemming nodig
is, leidt die zogenaamde neutraliteit wel tot een echte verandering. Daar is dus niks neutraals aan. Hoe verhoudt nu
het permanent om toestemming moeten vragen zich tot
het recht van kinderen — denk aan het Kinderrechtenverdrag — om zich vrij te kunnen ontplooien? Wij vinden kinderen vanaf 12 jaar wel verstandig genoeg om mee te
kunnen praten over een medische behandeling of over een
omgangsregeling met ouders in het geval van een scheiding, maar voor het downloaden van NU.nl hebben we
minder fiducie in hun onderscheidingsvermogen. De
minister heeft in de nota van wijziging van vorige week een
uitzondering opgenomen voor hulp- en adviesdiensten. Dat
is op zich een stap in de goede richting. Dan kunnen jongeren in ieder geval om hulp vragen, bijvoorbeeld als ze willen
praten over seksualiteit of als er iets is gebeurd, zonder dat
ze eerst langs hun ouders moeten. Maar wat is een
adviesdienst? Als jongeren onderling chatten over hun
problemen of over hun gevoelens, valt dat er dan onder?
GroenLinks is voor een verlaging van de leeftijd naar 13
jaar. Ik wil de minister vragen dit toch ook te overwegen,
al is het maar uit praktische overwegingen. Want ik heb de
verschillende artikelen eens in samenhang gezien. Deze
Europese verordening regelt dat het recht geldt van het EUland waarin een hoofdkantoor gevestigd is. Dat is bijvoorbeeld voor Facebook in Dublin. Daar hanteert men, zoals
in heel veel Europese landen, een leeftijdsgrens van 13 jaar.
Klopt het nu dat je dus voor een Nederlands internetforum
16 jaar moet zijn, maar voor Facebook 13 jaar? Volgens mij
schieten we hier niets mee op en doen we er een stuk beter
aan om kinderen goed te leren omgaan met social media.
Vandaar mijn amendement.
Ik heb ook een amendement ingediend om de journalistieke
exceptie wat ruimer te maken. Er moet geen twijfel zijn dat
journalisten vrij hun nieuws kunnen vergaren. Daarbij
komen veel persoonsgegevens kijken. Denk aan de Panamapapers, aan LuxLeaks of aan het onderzoek naar de erfpacht van joodse onderduikers in Amsterdam. Daar zit soms
ook gevoelige informatie bij, zoals het strafverleden. De
Europese verordening laat meer ruimte voor uitzonderingen
voor journalisten dan Nederland nu pakt. Die beperking
heb ik niet voldoende gemotiveerd gezien. Vandaar mijn
amendement om de Europese ruimte wel volledig te
benutten.
Een derde amendement voorziet in de mogelijkheid om via
een AMvB te regelen dat bedrijven mogen melden wanneer

8 maart 2018
TK 59

59-4-1

zij databases met informatie aan de inlichtingen- en veiligheidsdiensten hebben gegeven. Natuurlijk kan dit alleen
als de nationale veiligheid niet in het geding komt. De Wet
op de inlichtingen- en veiligheidsdiensten regelt dat
bedrijven gevraagd kunnen worden om informatie af te
staan. Met uitzondering van communicatiebedrijven die
een verplichting daartoe hebben, kunnen bedrijven nee of
ja zeggen. Dat is dus een keuze, zonder juridische verplichting. We willen graag dat bedrijven mogen zeggen dat de
informatie is afgestaan.
Voorzitter. Een van de meest bijzondere rechten die in de
verordening staan, is het recht om niet te worden onderworpen aan een geautomatiseerd besluit. Dit staat in artikel 22
van de verordening. Maar wat is nu de implicatie van dit
artikel? Volgens dit artikel mogen besluiten waaraan
rechtsgevolgen worden ontleend, niet uitsluitend zijn
gebaseerd op een geautomatiseerde verwerking van persoonsgegevens. Er moet altijd een handeling tussen zitten.
In de richtlijn wordt niks gezegd over hoe significant die
handeling dan moet zijn. Kan die handeling volgens de
minister marginaal zijn? Of gaat het nog steeds om een
inhoudelijk oordeel? Ik denk in dit verband aan de ophef
die vorig jaar ontstond over e-Court. Deze private rechtbank
vonniste via algoritmes. De meeste vonnissen kregen wel
een stempel van de rechtbank in Almelo. Het rechtsgevolg
was dus niet onverkort en alleen het resultaat van algoritmes. Kan de minister uiteenzetten wat nu inhoudelijk
minimaal nodig is voor e-Court om in lijn te handelen met
de AVG? Betekent het dat voortaan een inhoudelijke toets
vereist is door een persoon of niet?
Voorzitter. Profiling blijft wel mogelijk als het berust op de
uitdrukkelijke toestemming van de betrokkene. Uitdrukkelijke toestemming veronderstelt dat iemand een besluit kan
overzien. Je moet weten wat de implicaties zijn als je iets
accordeert. Wat GroenLinks betreft is het in dat kader
noodzakelijk dat algoritmes transparant zijn of in ieder geval
kunnen worden onderzocht. Is de minister dit met mij eens?
Transparantie van algoritmes is ook nodig om eventuele
discriminerende gevolgen van de geautomatiseerde gegevensverwerking te zien en te bestrijden. Want hoe anders
kan invulling worden gegeven aan de verplichting om discriminerende gevolgen aan te pakken en te voorkomen?
Geautomatiseerde besluitvorming mag geen betrekking
hebben op een kind. Dat is vastgelegd in overweging 71.
Er staat niet dat het wel mag met toestemming van de
ouders of als de overheid het nuttig vindt, nee, het mag
gewoon niet. Zal deze bepaling naar de mening van de
minister nog tot serieuze veranderingen in Nederland leiden? Betekent het bijvoorbeeld iets voor het gebruik van
risicoprofielen van kinderen waar hulpverleners in sommige
gemeenten gebruik van maken? Die profielen kunnen naast
nuttig ook behoorlijk stigmatiserend zijn. Overweging 71
is niet juridisch bindend op eenzelfde wijze als de artikelen
van de verordening. Maar zo'n considerans kan wel het
begin van een rechtsontwikkeling zijn. Volgens diverse
deskundigen zijn de specifieke rechten van kinderen nu echt
zo'n onderwerp waar het Europees Comité voor Gegevensbescherming later aanvullende richtsnoeren over zal maken,
ook wel zachte wetgeving genoemd.
Dat brengt mij bij het kopje institutionele zaken. Daarbij wil
ik heel kort vijf punten aansnijden. Een. Vindt de minister
ook dat de democratische legitimiteit van de besluiten door
het Europees Comité nu heel erg mager is? GroenLinks zou

Tweede Kamer

Algemene verordening
gegevensbescherming

de minister eigenlijk willen vragen om in Europa te lobbyen
voor een aanpassing van de regels om het Europees Parlement alsnog een rol te laten krijgen als die aanvullende
richtsnoeren worden gemaakt. Een soort terugfluitrecht,
dat we ook in andere gevallen kennen.
Twee. De Autoriteit Persoonsgegevens is de toezichthouder
van onze privacyregels. Ze houdt ook toezicht op de overheid. Wat GroenLinks betreft zou het daarom passend zijn
dat de Tweede Kamer een rol heeft bij de benoeming van
de leden en dat we die niet alleen overlaten aan de regering.
We hebben een amendement ingediend om de procedure
gelijk te maken aan die van de leden van de Rekenkamer.
Graag een reactie van de minister daarop.
Het is belangrijk dat de autoriteit gelijk goed uit de startblokken komt. De verwachting is dat het aantal klachten en
vragen om hulp rap zal toenemen in de komende maanden.
Het zou slecht zijn als we hier niet aan kunnen voldoen door
gebrek aan capaciteit. Dat zou het vertrouwen in de nieuwe
rechten van burgers aantasten. Hoe ziet de minister nu de
capaciteit? Volgens het onderzoeksrapport van AEF zit het
budget onder het bedrag dat werd gezien als het vereiste
minimum. Zal dit onderwerp betrokken worden bij de
Voorjaarsnota?
De verordening is van toepassing op alle gegevensverwerking in Nederland, dus ook op gegevensverwerking op terreinen waar de Europese Unie geen zeggenschap op heeft.
Dat vind ik juridisch ontzettend spannend, want wat betekent dat in geval van conflicten? Heeft het Europese Hof
van Justitie dan toch zeggenschap en geldt het Europees
Handvest van de grondrechten dan toch onverkort op al
die terreinen?
Voor de BES, onze bijzondere Nederlandse gemeenten,
geldt de Europese verordening niet. Zij houden hun eigen
Wet bescherming persoonsgegevens BES. Ik zou graag van
de minister horen wat de reden hiervoor is. Hoe schat hij
het risico in dat twee verschillende rechtsregimes zullen
ontstaan en wat de gevolgen hiervan zijn voor het delen
van gegevens tussen de landen in het koninkrijk?
Ik heb nog een kort vraagje en dan rond ik af. Er is niet voor
gekozen om het geslacht op te nemen als een van de bijzonder beschermde persoonsgegevens. Mijn vraag aan de
minister is waarom dat zo is en hoe zich dat verhoudt tot
het voornemen van het kabinet om de registratie van
geslacht als persoonsgegeven juist te beperken.
Ten slotte. Ik weet dat er heel veel zorgen zijn over de
implementatie. Voor veel bedrijven is het een grote opgave
om deze verordening vorm te geven. Maar hiertoe is al
twee jaar geleden besloten, dus bedrijven hadden zich al
flink kunnen voorbereiden. Veel bedrijven hebben dat ook
gedaan. Wat GroenLinks betreft moet er wel enige coulance
zijn als bedrijven al goed op stoom zijn, maar nog niet alle
puntjes op de i hebben gezet. Maar de essentie van de
richtlijn, dat bedrijven aantoonbaar moeten verantwoorden
welke gegevens zij verwerken, met welk doel en hoe zij zijn
beveiligd, moet niet op de lange baan geschoven worden.
De voorzitter:
Dank u wel. Dan gaan we luisteren naar de heer Koopmans
van de fractie van de VVD.

8 maart 2018
TK 59

59-4-2

opgelegde wijzigingen verandert er nu dus materieel bijna
niets.
De heer Koopmans (VVD):
Voorzitter, dank u wel. We hebben het vandaag over fundamentele zaken als vrijheid en veiligheid. Dat zijn essentiële
uitgangspunten voor de VVD. Maar ook praktische haalbaarheid en werkbaarheid, en beperking van onzekerheid en
regeldruk zijn voor ons van groot belang en deze aspecten
moeten vandaag centraal staan.
Eerst over de uitgangspunten. Privacy is vrijheid. Niemand
hoeft alles van je te weten en we moeten ons goed
beschermen tegen de afkalving van je persoonlijke levenssfeer, die de razendsnelle digitalisering met zich kan meebrengen. Privacy biedt ook veiligheid en geborgenheid.
Maar het is ook vrijheid om je gegevens vrijwillig met
anderen te delen, bijvoorbeeld omdat je graag wilt dat jouw
sportclub en je werkgever rekening houden met jouw handicap of ziekte. Of omdat je je wilt aansluiten bij een studentenvereniging of een muziekstreamingdienst. Of omdat je
gemakkelijk met je smartphone je reisroute wilt kunnen
bepalen. Een deel van die vrijheid is dus ook dat organisaties gegevens, die ze terecht krijgen, goed kunnen inzetten.
Dat geldt altijd, of we het nu over het mkb hebben, over
een patiëntenvereniging, over een kerkgenootschap of over
een online warenhuis. Zowel de vrijheid om je data te
behouden als de vrijheid om je data te delen en voor ieders
welzijn te gebruiken, moeten we goed beveiligen en
bewaken. We willen controle houden over wat er met de
gegevens gebeurt, wie er toegang toe heeft en wie er wat
mee mag doen. En je wilt ook weten waar je kunt klagen
als er niet goed met je gegevens wordt omgegaan, want
zo beveiligen we de vrijheid.
Dan het belang. Het belang van dit alles wordt steeds groter.
Door de enorme groei in digitalisering is er steeds meer
data over iedereen, die gemakkelijk te gebruiken is voor
zowel heel nuttige als heel slechte doeleinden. Gegevens
zijn makkelijker voor altijd te bewaren, aan alles te koppelen
en wereldwijd te verspreiden. Duidelijke wettelijke kaders
worden daarom steeds belangrijker. Mensen, bedrijven en
overheden hebben veel te winnen bij het delen en analyseren van data. Maar tegelijkertijd maken mensen zich zorgen
over de informatie die over hen verzameld wordt. Wie bij
Albert Heijn weet wat van mij? Aan wie verkoopt Google
mijn informatie? En blijft mijn data voor altijd bewaard,
inzetbaar en verhandelbaar? Regels zijn nodig. Regels
moeten ook duidelijk zijn. Je wilt als consument, product,
werknemer, werkgever, vereniging of overheid weten wat
wel en niet toegestaan is. En je wilt ook dat je, als je over
de grens diensten aanbiedt of gebruikt, niet overal met
andere regels te maken hebt. Daarom is het goed dat het
gegevensbeschermingsrecht nu wordt gemoderniseerd en
geharmoniseerd.
Dit is grotendeels al gedaan door de Algemene verordening
gegevensbescherming, de AVG, die al in 2016 is vastgesteld,
maar eind mei van kracht wordt. Vandaag behandelen we
dus niet de AVG, maar alleen de Uitvoeringswet, die met
name regelt welke instantie toezicht houdt op de naleving.
De Uitvoeringswet moet ook eind mei van kracht zijn. Er is
dus haast. Als het niet lukt, zou er kostbare rechtsonzekerheid bestaan voor alle betrokkenen, en rechtsonzekerheid
wil de VVD niet. Daarom steunt de VVD de beleidsneutrale
invoering van de Uitvoeringswet. Dat betekent dat er
inhoudelijk zo veel mogelijk wordt aangesloten bij de huidige Nederlandse wetgeving. Behoudens de door de AVG

Tweede Kamer

Algemene verordening
gegevensbescherming

Maar ondanks dat die verordening inmiddels al twee jaar
vaststaat, en ondanks dat de Uitvoeringswet zo min
mogelijk verandert aan de nu bestaande normen, is er nog
veel onzekerheid bij de mensen over wat nu eigenlijk per
25 mei het recht is. Voor een deel is dat ondanks de diverse
voorlichtingscampagnes, maar voor een deel is dat ook
omdat de regels niet altijd duidelijk waren, of dat nog steeds
niet zijn.
Mevrouw Buitenweg (GroenLinks):
De heer Koopmans zegt dat er materieel niet zo veel verandert vanwege de beleidsneutrale bepaling. Maar kan hij
zich voorstellen dat het, vanwege de eis dat je nu overal
toestemming moet krijgen, bijvoorbeeld voor kinderen tot
16 jaar, in werkelijkheid wel degelijk net een iets andere
situatie oplevert dan voorheen?
De heer Koopmans (VVD):
Zeker. De regels veranderen door de verordening die twee
jaar geleden is vastgesteld en binnenkort van kracht wordt.
Dat is een grote verandering. In die zin verandert er dus
heel veel. De Uitvoeringswet die nu voorligt probeert
eigenlijk zo weinig mogelijk nog daarbij te veranderen. Dat
lijkt mij, gezien de rechtszekerheid nu, een goede keuze.
Mevrouw Buitenweg (GroenLinks):
Maar bent u het met mij eens, zeg ik via de voorzitter, dat
het er in de praktijk toch toe kan leiden dat er, juist als je
niks verandert in Nederland, door de Europese regels die
van kracht worden vanaf 25 mei een grote verandering kan
zijn voor jongeren, zodat zij nu ineens wel toestemming
moeten vragen voor het downloaden van verschillende
apps, terwijl zij dat voorheen niet hoefden?
De heer Koopmans (VVD):
Ja. Daarom wil ik juist voorstellen — daar kom ik straks nog
op — dat wij deze Uitvoeringswet voor de duidelijkheid nu
beleidsneutraal en snel invoeren. Ik wil ook vragen aan de
minister om op korte termijn — ik denk aan een paar
maanden — te bekijken hoe het in de praktijk werkt. Ik wil
hem ook vragen om te kijken of er nog aanpassingen
gedaan kunnen en moeten worden op specifieke punten,
bijvoorbeeld de onlinetoegang van jongeren. Ik hoop daarin
ook mevrouw Buitenweg naast mij te vinden.
Voorzitter, ik vervolg. Die onzekerheid, die onduidelijkheid
komt voornamelijk door de verordening zelf. Die ligt hier
nu dus niet voor, maar die kent heel veel vage normen. Die
normen zijn natuurlijk ook nog niet in de praktijk getest.
Dat begint pas eind mei. Er is daarom ook nog geen grote
praktijkervaring, of überhaupt geen praktijkervaring. Er zijn
ook nog geen aanwijzingen van de toezichthouders en geen
rechterlijke uitspraken. Ook de Uitvoeringswet is natuurlijk
nog niet getest. Ook de Autoriteit Persoonsgegevens moet
zich in de nieuwe omgeving bewijzen.
Er zijn daarom nog veel vragen bij de VVD. Die vragen
komen van de mensen in het land, van ondernemers, verenigingen, belangenorganisaties, overheden en heel veel
anderen. Ik dank de minister voor de eerdere uitgebreide

8 maart 2018
TK 59

59-4-3

beantwoording van de vele schriftelijke vragen die ik op
basis van die vragen uit het land al aan hem heb gesteld,
maar ik wil ook hier nog een aantal vragen stellen, opdat
wij en de mensen in het land zo veel mogelijk duidelijkheid
hebben over die regels. Ik begin met een paar algemene
vragen.
Eén. Ondanks de voorlichtingscampagnes lijken het mkb,
verenigingen, kleinere overheden en andere organisaties
vaak nog onvoldoende voorbereid te zijn op de komst van
de verordening. Wat kunnen de minister en de Autoriteit
Persoonsgegevens de komende maanden nog meer doen
om die bekendheid te vergroten?
Twee: kan de minister meer duidelijkheid geven over wanneer een zorginstelling, een bedrijf of een vereniging een
functionaris gegevensverwerking nodig heeft?
Drie: hoe zit het met de verwerking van gezondheidsgegevens door sportorganisaties, bijvoorbeeld in het kader van
gehandicaptensport?
Vier: hoe doen we het precies met de mogelijkheden voor
jongeren onder 16 jaar om online profielen te maken, bijvoorbeeld om buiten hun ouders om advies te vragen aan
hulpinstanties? Mevrouw Buitenweg noemde dit punt zojuist
ook al.
Vijf: is er, gezien de vele hacks en datalekken waar we nu
iedere dag weer van horen, voldoende aandacht voor de
veilige opslag van gegevens? We kunnen wel heel goed
regelen hoe je ze moet gebruiken, maar als ze onveilig liggen opgeslagen, heb je daar niet zoveel aan. Dus is in het
komende recht voldoende geregeld waar die data worden
beheerd, wie de eigenaar is, wie toegang heeft en hoe dit
intern moet worden gehandhaafd? Zo niet, wat kunnen wij
— de minister samen met ons — dan doen om ervoor te
zorgen dat dit zo snel mogelijk wel het geval is?

tot resultaten leiden. Daarom wil ik — naar ik aanneem
samen met veel collega's hier — vragen of de regering
ongeveer een halfjaar na inwerkingtreding van de nieuwe
regels kan berichten over mogelijke knelpunten en meteen
voorstellen kan doen hoe die zo nodig aangepakt kunnen
worden. Ik denk hierbij aan een lijstje. Ik ga die punten
noemen; het zijn er tien.
1. de verwerking van gezondheidsgegevens in het kader
van sportbeoefening.
2. de verwerking van gegevens door kleinere organisaties
zoals vrijwilligersverenigingen, kerkgenootschappen en
andere organisaties.
3. de verwerking van gezondheidsgegevens van werknemers.
4. het branchebreed aanleggen van zwarte lijsten van fraudeurs, want we willen allemaal fraudeurs aanpakken. Moet
daar niet nog meer aan gedaan worden? Dat kan.
5. vragen over het toepassingsgebied van de verordening,
met name gezien de uitzonderingen voor zuiver persoonlijke
of huishoudelijke activiteiten. Ik begrijp dat dit in de verordening ligt, maar als dat niet duidelijk is, kan de minister
dan hier of in Brussel kijken of op dit punt meer duidelijkheid gecreëerd kan worden?
6. de leeftijdsgrens voor kinderen om hen in een onlineomgeving rechtsgeldig gebruik te kunnen laten maken van
hun persoonsgegevens. Moet daar niet meer gedaan worden? 7. de reikwijdte van de uitzondering voor kleine
bedrijven voor het bijhouden van een register voor alle
persoonsgegevens die zij verwerken.
8. de ruimte van het gebruik van persoonsgegevens voor
journalistieke doeleinden.
9. de reikwijdte van de uitzonderingen op het verbod van
geautomatiseerde besluitvorming.
10. de mogelijkheid om het ex parte verbod, analoog aan
artikel 1090e van het Wetboek van Burgerlijke Rechtsvordering, van toepassing te verklaren op ernstige schendingen
van de Algemene verordening gegevensbescherming.

Zes. De Autoriteit Persoonsgegevens heeft veel taken,
waaronder normering, advisering, toezicht en straffen. Is
de machtenscheiding voldoende gewaarborgd?

Voorzitter, dit was de laatste van mijn tien punten, maar
niet het eind van mijn betoog.

De zevende en laatste algemene vraag is of wij er samen
voor kunnen zorgen dat er in de top van de Autoriteit Persoonsgegevens voldoende ervaring is met de toepassing
van de wet voor het bedrijfsleven en voor andere mensen
in de praktijk en dat er dus voldoende technisch en praktisch
inzicht is om de problemen van de regulering te beoordelen.
Hiertoe heb ik samen met mijn collega Van Dam van het
CDA en de heer Verhoeven van D66 een amendement
ingediend. Wij willen dat er een derde bestuurslid komt,
bijvoorbeeld een ondernemer maar in ieder geval iemand
met grote praktijkervaring inzake de gegevensverwerking.

De voorzitter:
De heer Van der Staaij wil ze nog een keer horen, denk ik.

En dan het vervolgtraject. De vragen die ik zojuist stelde,
zijn maar een deel van de in het land levende vragen en
zorgen over deze nieuwe regelgeving. Het is dan ook heel
goed dat de minister al heeft aangeboden om snel een
vervolgtraject te starten om daar de eventueel nog mogelijke beleidskeuzes in op te nemen, te bezien waar nog
nationale regelruimte is of waar hij misschien op Europees
niveau voor aanpassing wil pleiten en nog eens heel kritisch
te kijken naar hoe het in de praktijk allemaal werkt als dit
eenmaal is ingevoerd. Dit vervolgtraject moet in onze optiek
dan ook zo snel mogelijk beginnen en ook zo snel mogelijk

Tweede Kamer

Algemene verordening
gegevensbescherming

De heer Van der Staaij (SGP):
Ja, nummer drie was ik even kwijt! Nee hoor, daar gaat het
me niet om. Ik wil het even op me laten inwerken. Het is
nogal een waslijst aan punten waarvan de VVD-fractie zegt
dat ze eigenlijk nog niet helder zijn. Dat ben ik met hem
eens. Op zichzelf steun voor de gedachte dat er verheldering
moet komen, maar wat zegt dat over de rechtszekerheid
die nu aan de orde is met de verordening en de Uitvoeringswet die we hebben?
De heer Koopmans (VVD):
Met de heer Van der Staaij ben ik het zeker eens als hij zegt
dat er heel veel vage normen in die verordening staan. De
verordening is twee jaar geleden op Europees niveau aangenomen door de lidstaten en de Commissies. Op die verordening zijn wij heel kritisch, maar die verordening ligt
hier niet voor. We hebben het nu over de Uitvoeringswet
waarin we in essentie zeggen: daar is de Autoriteit Persoons-

8 maart 2018
TK 59

59-4-4

gegevens, daar kunt u klagen, daar wordt het gehandhaafd.
Ik denk wel dat dit het moment is om aan de minister te
vragen om te bekijken hoe wij de rechtszekerheid zo veel
mogelijk kunnen bevorderen. Bijvoorbeeld door de praktijk
kritisch te volgen, door de minister te vragen wat er nog
kan worden veranderd, maar er is nog een laatste element.
Deze Uitvoeringswet, die over twee maanden al van kracht
wordt, moet nu beleidsneutraal worden ingevoerd, zodat
de mensen weten waar zij wat dat betreft aan toe zijn. Ik
wil heel graag samen met de heer Van der Staaij, en ook
met mevrouw Buitenweg en ik denk met iedereen, zo veel
mogelijk duidelijkheid en helderheid. Daarom noem ik deze
punten.
De heer Van der Staaij (SGP):
Nogmaals, met de wens tot verduidelijking ben ik het
helemaal eens. Ik zoek toch nog even naar de reflectie op
wat dit voor een wetgeving is. We hebben nog op zo veel
punten onzekerheid en onduidelijkheid, en tot welke conclusie brengt dit de heer Koopmans? Is dit een mooi wetgevingsproces zoals we dat meer moeten hebben, of vindt hij
dat het deze kant helemaal niet op moet?
De heer Koopmans (VVD):
Ik ben met de heer Van der Staaij heel kritisch over deze
verordening. Er staan een hoop vage normen in en het
brengt een hoop onzekerheid in de wereld wanneer die
straks van kracht wordt. Op dit moment kunnen wij daar
niets meer aan doen. Dit was overigens een Europese verordening, aangenomen in 2016. Ik was toen nog niet in dit
huis en ze werd ook niet hier aangenomen. Die verordening
moet nu worden uitgevoerd. We moeten zo veel mogelijk
doen om de mensen in het land zekerheid te bieden.
Daarom heb ik dit lijstje opgesteld met adviezen van veel
collega's om de minister te vragen het kritisch te volgen en
voorstellen te doen over hoe we het kunnen invullen.
Mevrouw Buitenweg (GroenLinks):
Dit is meer een soort tijdelijke correctie in het belang van
de democratische legitimiteit die deze verordening heeft.
U zei …
De voorzitter:
De heer Koopmans zei.
Mevrouw Buitenweg (GroenLinks):
De heer Koopmans zei dat het was goedgekeurd door de
Raad en de Europese Commissie, maar het ging natuurlijk
juist ook door het Europees Parlement. Nu hier van die kritische noten worden gekraakt, is het goed te bedenken dat
de verordening in 2016 is aangenomen. Hadden wij zelf in
Nederland niet veel eerder deze verordening moeten
bespreken? Is het niet mede door de nationale wetgever
dat we nu zo heel erg laat zijn, waardoor er heel veel
onduidelijk is?
De heer Koopmans (VVD):
Ik wil niet ergens de schuld leggen, ik wil de schuldvraag
nu überhaupt niet behandelen. Ik wil vooral dat mensen
duidelijkheid hebben. Daarom doe ik mijn best om samen

Tweede Kamer

Algemene verordening
gegevensbescherming

met collega's en hopelijk ook samen met de minister de
mensen zo veel mogelijk van die duidelijkheid te bieden.
Het is nu niet aan mij om me uit te laten over de vraag of
voorgangers van welke partij dan ook het al dan niet goed
hebben gedaan. Mensen willen duidelijkheid en laten we
die duidelijkheid creëren.
Mevrouw Buitenweg (GroenLinks):
Zeker.
De heer Koopmans (VVD):
Dat ben ik met mevrouw Buitenweg eens. Het is nu niet de
tijd voor vingerwijzen. Iedereen heeft zijn verantwoordelijkheid. Ik denk dat onze hoofdverantwoordelijkheid nu is om
zo veel mogelijk duidelijkheid te bieden. Ik ben blij dat we
dat nu breed gedeeld kunnen aandragen.
Voorzitter, ik ben bijna klaar, als u mij toestaat. Ik hoor graag
van de minister hoe hij denkt over deze tien punten.
Dan nog iets over hulpvaardige handhaving. Gezien de vele
vragen en onzekerheden die er nog leven, zeker in deze
opstartfase, waarin veel dingen nog niet zo duidelijk en
bekend zijn als we zouden willen, wil de VVD zich uitspreken
voor een hulpvaardige handhaving. Ik zeg daarbij expliciet
dat wij volledig de onafhankelijkheid respecteren van de
Autoriteit Persoonsgegevens. We willen ook helemaal niets
afdoen aan haar taak om bewuste, ernstige overtredingen
te bestraffen. Want nogmaals, privacy is voor ons enorm
belangrijk. Maar nu veel ondernemers, sportverenigingen,
vrijwilligersorganisaties, kerkgenootschappen en privépersonen nog veel vragen hebben over de inhoud en de reikwijdte van de regels, vinden wij dat de overheid zich zo
hulpvaardig mogelijk moet opstellen en zich dus primair
hoort te richten op voorlichting en hulp bij de interpretatie
en de uitvoering van de regelgeving. Dat laat onverlet haar
handhavingstaak inzake bewuste schendingen. Ik vraag de
minister of hij zich hierin kan vinden.
Voorzitter. Ik kom bij mijn conclusie. Het gaat hier om een
steeds belangrijker aspect voor onze vrijheid en onze veiligheid: het beheer en het gebruik van gegevens. Daar moeten
heldere en praktische regels voor zijn, zonder onnodige
regeldruk te creëren. Met name in de opstartfase is het van
belang dat we, en dan met name de Autoriteit Persoonsgegevens, de goedwillenden helpen. Die heldere en praktische
regels dienen dan ook helder te worden ontwikkeld, uitgelegd en gehandhaafd door mensen die oog hebben voor
de praktijk van Nederland en voor onze vrijheid en onze
veiligheid.
Voorzitter, dank u wel.
De voorzitter:
Dank u wel. Dan gaan we luisteren naar de heer Van Nispen
van de SP.

De heer Van Nispen (SP):
Vandaag nemen we afscheid van onze Wet bescherming
persoonsgegevens, maar we krijgen er de Uitvoeringswet
Algemene verordening gegevensbescherming voor terug.

8 maart 2018
TK 59

59-4-5

Dat wordt onze belangrijke privacywet. We bespreken dus
vandaag een heel erg belangrijk onderwerp: de bescherming van onze persoonsgegevens en onze privacy, een
grondrecht. Daar is heel erg lang over onderhandeld in de
Europese Unie. Er zijn duizenden amendementen ingediend.
Het was een heel intensief traject, ook op de voet gevolgd
door de Tweede Kamer, zo kan ik hier wel degelijk stellen.
Maar dat maakt ook dat we vandaag, anders dan meestal
het geval is, niet zo heel veel meer kunnen veranderen aan
wat er voorligt, als we dat al zouden willen.
Het voornaamste doel van de AVG is om te voorkomen dat
bedrijven producten en diensten aanbieden vanuit EU-lidstaten met een laag niveau van gegevensbescherming. Met
de inwerkingtreding van de AVG ontstaat als het goed is
een gelijk privacybeschermingsniveau binnen de Europese
Unie. Overal bescherming van de privacy, dat is in principe
een goed uitgangspunt. Hoe gaat het eigenlijk met de
invoering van de verordening in andere EU-lidstaten? En,
belangrijker nog, hoe gaat het met de naleving en handhaving in de praktijk? Zijn er bijvoorbeeld landen waar de
minister zich zorgen over maakt?
Een goede bescherming van de privacy van alle mensen is
van groot belang, zeker in een tijd waarin technologische
ontwikkelingen zo snel gaan dat mensen de controle over
hun gegevens steeds meer lijken te verliezen. Met deze
verordening worden de rechten van betrokkenen versterkt,
zoals het recht om vergeten te worden. De daarmee
samenhangende verplichtingen voor de verwerkingsverantwoordelijken worden juist strenger. Ook de sancties op
overtredingen van de privacyregels worden strenger. De
AVG regelt dat toezichthouders een bestuurlijke boete
kunnen opleggen tot maximaal 20 miljoen euro of tot 4%
van de wereldwijde jaaromzet als dit bedrag hoger is. Dat
is een flinke verhoging ten opzichte van de maximale boete
die de Autoriteit Persoonsgegevens nu kan opleggen bij
overtredingen van de Wet bescherming persoonsgegevens.
Dat vindt de SP zeer terecht, maar het staat of valt natuurlijk
wel met de daadkracht van de toezichthouder.
Dan kom ik specifiek bij de Autoriteit Persoonsgegevens.
Want een waakhond moet niet alleen tanden krijgen, maar
moet ook kunnen bijten als het moet. De Autoriteit Persoonsgegevens krijgt er met de invoering van de AVG fors wat
extra taken bij en heeft in dat kader laten onderzoeken
hoeveel extra budget er nodig is om al die taken naar
behoren uit te voeren. Uit dat onderzoek — dat is het rapport van Andersson Elffers Felix — bleek dat er waarschijnlijk een extra bedrag nodig is van tussen de 16 miljoen euro
en 22 miljoen euro. Toch komt er nu 7 miljoen euro extra
bij vanaf 2019. Dat is niet niks. Dat is fors extra geld, maar
dat is wel fors lager dan uit dat onderzoek bleek. Achteraf
zal de minister dan in de gaten houden of de Autoriteit
Persoonsgegevens toch meer geld nodig heeft. Ik vraag
dan toch wat dan het nut is geweest van het onderzoek dat
is uitgevoerd, als we er vervolgens niet naar handelen.
Waarom kiest de minister ervoor de Autoriteit Persoonsgegevens te onderfinancieren? Kan de autoriteit wel adequaat
toezichthouden als de AVG straks in werking treedt? Die
extra taken van de autoriteit liggen namelijk ook op het
gebied van voorlichting. Dat is heel erg terecht. We vragen
nogal wat van verwerkingsverantwoordelijken, meestal de
bedrijven die persoonsgegevens verwerken. Die krijgen er
op grond van deze verordening een hoop extra verplichtingen bij. De vraag die we bijvoorbeeld gesteld hebben is of
ook het midden- en kleinbedrijf er klaar voor is. Ja, zei toen

Tweede Kamer

Algemene verordening
gegevensbescherming

de minister, en als ze nog vragen hebben, kunnen ze zich
wenden tot de Autoriteit Persoonsgegevens voor advies.
Maar kan de autoriteit dat dan wel allemaal aan? Dit staat
nog los van de principiële vraag hoe dat dan moet. Als de
autoriteit eerst het advies geeft dat bepaalde verwerkingen
niet zouden zijn toegestaan, vanaf wanneer kan dan met
goed fatsoen handhavend worden opgetreden? Adviezen
en handhaving in één hand zijn altijd ingewikkeld. Graag
een reactie van de minister.
Ik kom terug op het vorige punt over het budget en de
capaciteit. De Autoriteit Persoonsgegevens moet meer
voorlichting gaan geven aan mensen over wat er wel en
niet mag met hun persoonsgegevens. Daar ben ik het echt
heel erg mee eens. Daar heeft de SP vaak voor gepleit. Er
komt nu een klantcontactcentrum met ruime telefonische
openingstijden en een digitaal klachtformulier. Het doel is
— ik citeer — "om de klachten van burgers voor een
belangrijk deel telefonisch op te lossen door bemiddelend
op te treden, maar de Autoriteit Persoonsgegevens kan en
zal in reactie op een overtreding waar nodig ook passende
sancties opleggen", aldus de minister. Dat klinkt echt heel
erg goed, maar als de minister dit allemaal belooft, dan
moeten eigenlijk ook de financiële middelen bij worden
geleverd. Stel dat het budget inderdaad niet toereikend
blijkt, zoals voorspeld door het onderzoek, wat laat de
Autoriteit Persoonsgegevens dan als eerste zitten? Geeft
ze dan minder voorlichting aan burgers en bedrijven? Gaat
ze minder klachtafhandeling en -bemiddeling doen? Gaat
ze minder handhaven en minder boetes geven? Graag een
reactie van de minister.
Dan heb ik nog vragen en opmerkingen over een hoop
andere onderwerpen. Ik maak mij zorgen over de geautomatiseerde besluitvorming. Op basis van de AVG is het
mogelijk voor bedrijven om geautomatiseerde besluitvorming toe te passen. Artikel 40 staat namelijk uitzonderingen
toe op dat verbod. De SP wijst toch op de risico's die dit
met zich mee kan brengen. Zo weten veel mensen vaak niet
dat ze geprofileerd worden of onderhevig zijn aan geautomatiseerde besluitvorming. Persoonlijke omstandigheden
worden doorgaans niet meegewogen bij automatische
besluitvorming en het kan ook onmogelijk zijn om fouten
met terugwerkende kracht terug te draaien. Ik ben bezorgd
dat de uitzonderingen in het huidige voorstel op het verbod
op geautomatiseerde besluitvorming toch te ruim zijn. Hoe
wordt in de praktijk bijvoorbeeld getoetst of bedrijven de
grens van de uitzonderingen niet gaan overschrijden?
Moeten bedrijven zich hier bijvoorbeeld jaarlijks over verantwoorden tegenover de Autoriteit Persoonsgegevens?
Zo nee, zou dat niet misschien een goed idee zijn?
Dan kom ik op een ander punt. Het melden van een datalek
is in principe verplicht, maar niet voor financiële ondernemingen. In artikel 42 van de Uitvoeringswet worden financiële ondernemingen uitgezonderd van die meldingsplicht
aan betrokkenen. Deze uitzondering snapt de Autoriteit
Persoonsgegevens niet en de SP eigenlijk ook niet. Ook de
klanten van de financiële ondernemingen moeten op de
hoogte worden gebracht van een datalek, indien dat lek
waarschijnlijk een hoog risico inhoudt voor de rechten en
vrijheden van de betrokkenen. Dat zal vaak het geval zijn.
Het gaat om privacygevoelige informatie. De regering geeft
in de beantwoording aan dat wetsartikel 42 identiek is aan
lid 11 van het huidige artikel 34a van de Wet bescherming
persoonsgegevens, en daarmee is de kous af. Kan de
minister toch eens toelichten wat er nou precies op tegen

8 maart 2018
TK 59

59-4-6

is om financiële ondernemingen gelijk te behandelen en
dus ook gewoon een meldplicht op te leggen? Betrokkenen
verdienen het toch niet om op dit punt in het duister te
worden gehouden? Ik overweeg nog een amendement,
specifiek op dit punt.
Dan kom ik op de zogeheten journalistieke exceptie. Collega
Buitenweg had het daar ook al over. De brancheorganisatie
van nieuwsbedrijven wijst erop dat de Uitvoeringswet AVG
mogelijk belemmerend zou kunnen werken voor de journalistieke praktijk en dat de ruimte voor het gebruik van persoonsgegevens voor journalistieke doeleinden te zeer
beperkt zou kunnen worden. Deelt de minister die zorg? De
brancheorganisatie schetst dat een onthulling, zoals de
Panama Papers, wellicht niet langer mogelijk is wanneer
de AVG in werking treedt, omdat betrokkenen inzage in
gegevens zouden kunnen eisen en verwijdering daarvan.
Hoe ziet de minister dit? Verslechtert de journalistieke
ruimte van nieuwsmedia met de inwerkingtreding van de
AVG ten opzichte van de huidige situatie, of is dat niet het
geval?
Een ander punt waarover ik de minister iets wil vragen, is
het volgende. Artikel 30 lid 5 van de Algemene verordening
gegevensbescherming biedt een uitzondering op de regel
dat alle bedrijven verplicht zouden worden om een register
bij te houden van alle persoonsgegevens die zij verwerken.
Dat is een administratieve last. De uitzondering is dat kleine
bedrijven, dus bedrijven met minder dan 250 werknemers,
vrijgesteld kunnen worden van deze registerplicht. Kan de
minister toelichten hoe wij die uitzondering moeten lezen?
In de memorie van toelichting lees ik namelijk dat de
minister deze uitzondering zeer beperkt wil uitleggen door
te stellen dat dit alleen geldt voor bedrijven die uitsluitend
incidenteel persoonsgegevens verwerken. Maar dat is volgens mij vrijwel nooit het geval, want ieder klantenbestand
of iedere salarisadministratie is al structureel. Zou het dus
niet correcter zijn om artikel 30 lid 5 zo te lezen dat een
bedrijf niet registerplichtig is als het minder dan 250 werknemers in dienst heeft én geen risicovolle verwerkingen
doet? Zou dit laatste vanuit praktisch oogpunt niet het meest
wenselijke zijn? Dat is mijn vraag hierbij aan de minister.
Dan kom ik op de sportvraag; voor een triviant, zou je kunnen zeggen. Het NOC*NSF heeft erop gewezen dat het voor
sporters soms wenselijk en zelfs noodzakelijk is om
gezondheidsgegevens te kunnen verwerken. Denk hierbij
aan sporters met een beperking, die als paralympiër naar
de Paralympische Spelen willen. Het lijkt me legitiem om
dan te registreren van welke beperking er sprake is, al was
het maar om in de juiste categorie uit te kunnen komen,
want dat is voor die sporters nogal van belang. Ook voor
het opslaan van gegevens waarmee prestaties van sporters
bijgehouden kunnen worden met als doel die prestaties te
verbeteren, geldt eigenlijk hetzelfde. Ziet de minister hier
de schoen wringen met de Uitvoeringswet AVG zoals die
nu is opgesteld? Zo ja, zou er dan geen uitzondering opgenomen moeten worden voor de verwerking van gezondheidsgegevens in het kader van sportbeoefening, zoals dat
bijvoorbeeld ook voor scholen is gedaan in artikel 30 lid 2
onder a?
Mijn laatste punt betreft de rechten van kinderen. In de
Algemene verordening gegevensbescherming staan artikelen waarin kinderen expliciet worden genoemd, bijvoorbeeld artikel 6. Op grond van dat artikel prevaleren de
belangen van een kind eerder boven die van de verwerkings-

Tweede Kamer

Algemene verordening
gegevensbescherming

verantwoordelijke dan wanneer het om een volwassene
zou gaan. Bij kinderen moet dus kritischer worden getoetst.
Dat is goed. Alleen worden kinderen in andere artikelen en
bepalingen die ook belangrijk zijn voor hen, niet specifiek
genoemd, zoals in artikel 17 over het recht om vergeten te
worden. Waarom niet? Welke betekenis moet daaraan
worden gehecht?
Tot slot wil ik ingaan op de leeftijdsgrens van 16 jaar. Ook
collega Buitenweg van GroenLinks had het daarover. Ik heb
net als collega Buitenweg ook geprobeerd het thuis te
bespreken, maar ik kreeg alleen maar een glazige blik terug.
Dat komt omdat mijn kinderen pas 4 en 2 jaar oud zijn, dus
dat werkt wat minder goed. Maar het punt is dat een kind
van 16 jaar of ouder in een online omgeving rechtsgeldig
toestemming kan geven voor het gebruik van zijn persoonsgegevens. Dat kan bijvoorbeeld als het op internet een spel
speelt of als het een socialmedia-account opent. Is het kind
jonger dan 16, dan moet een van de ouders toestemming
geven. Zonder die toestemming kunnen de persoonsgegevens van het kind niet rechtmatig worden verwerkt. De
vraag is inderdaad hoe dit gecontroleerd wordt. Kan en
gebeurt die controle in de praktijk eigenlijk wel? Is dat realistisch? Welke inspanningen moet de verwerkingsverantwoordelijke, dus degene die de persoonsgegevens in handen krijgt, verrichten om te controleren of er wel sprake is
van toestemming van de ouders?
Inderdaad, sommige lidstaten hebben ervoor gekozen de
leeftijdsgrens te verlagen. Dat staat de AVG toe. Dan krijg
je dus verschillen en hebben kinderen van 13 of 14 geen
toestemming van hun ouders nodig en kan het jonge kind
zelf besluiten dat zijn of haar gegevens mogen worden
verwerkt. Ik zie zelf wel een dilemma. Sluit dat beter aan
op de realiteit? Zorgt het ervoor dat er minder inbreuk wordt
gemaakt op de vrijheid van informatie en meningsuiting
van deze groep kinderen? Zij kunnen bijvoorbeeld op zoek
zijn naar hun identiteit, waarop onder andere ook het COC
wijst. Of geeft een lagere leeftijd dan 16 te veel ruimte aan
bedrijven om zonder ouderlijke toestemming persoonsgegevens van kinderen te verwerken? Kortom, op grond
waarvan houdt Nederland vast aan de leeftijd van 16 jaar?
Daar ben ik erg benieuwd naar.
Dank u wel.
De voorzitter:
Dank u wel. Dan gaan we luisteren naar mevrouw Van
Toorenburg van de fractie van het CDA.

Mevrouw Van Toorenburg (CDA):
Dank u wel, voorzitter. De Algemene verordening gegevensbescherming, de AVG, kan niet anders dan zeer ambitieus
worden genoemd. Ondanks dat die verordening alweer
twee jaar geleden is afgerond, gaat het om een vooruitstrevende verordening, die burgers in lidstaten van een sterke
bescherming voorziet. Ondanks het feit dat ik ook allerlei
zorgen ga delen, denk ik dat het belangrijk is dat dat uitgangspunt hier toch wordt genoemd. Het gaat erom dat
we proberen om burgers, ook de jonge mensen die hier
vandaag op de publieke tribune zitten, goed te beschermen.
Niet iedereen moet aan de haal kunnen gaan met hun
gegevens.

8 maart 2018
TK 59

59-4-7

Deze vooruitstrevende verordening is niet vanzelf gegaan.
We hebben nu de Uitvoeringswet. Hoewel we een uitvoerige
behandeling hebben gehad met een memorie van toelichting en een schriftelijke ronde, constateren we dat er nog
erg veel zaken onduidelijk zijn. Er is onduidelijkheid over
de echte uitwerking van deze verordening. Welke gevolgen
heeft die nu precies voor het bedrijfsleven? Dan denk ik
met name aan het midden- en kleinbedrijf. Hoe dienen
verenigingen nou precies om te gaan met deze verordening? Welke rol gaat de Autoriteit Persoonsgegevens hierin
spelen? Deze vragen zijn voor het CDA van groot belang.
Ik zal daar wat uitvoeriger op ingaan in mijn inbreng.
Maar laat ik één stap terugzetten naar het proces. Twee jaar
geleden is afgesproken dat deze verordening definitief in
werking gaat treden met al die wetgeving in de verschillende lidstaten. Op 25 mei is het dan zover. Die voorbereidingsperiode van twee jaar heeft ertoe geleid dat er allerlei
initiatieven zijn ontplooid. Ik heb eens even zitten googelen
en kijken bij allerlei bedrijven, organisaties en koepels. Hoe
gaat dat daar nou allemaal? Ik kom van alles tegen, allerlei
manieren om mensen te helpen om hier goed op voorbereid
te zijn. MKB-Nederland, VNO-NCW en allerlei overkoepelingsorganen van verenigingen: iedereen is ermee bezig.
Maar toch zie je aan de zoektermen dat er nog heel erg veel
vragen zijn.
Kan de minister nou eens kijken naar de afgelopen periode?
Hoe beoordeelt hij nu de voorbereidingstijd en het benutten
van die tijd? Want ik heb begrepen dat er eind januari/begin
februari een onderzoek is gedaan onder bedrijven. Daaruit
blijkt dat een kwart van de bedrijven gewoon nog niet weet
wat op ze afkomt. Een kwart! Dat is onwijs veel. Dus ik vraag
me af of die klaar zullen zijn op 25 mei. Of krijgen ze dan
hopeloze problemen?
Dan ga ik naar de verordening zelf en naar de Uitvoeringswet. Het is begrijpelijk dat het veel vage en open normen
zijn. Dat past ook een beetje bij hoe we de wet nu hebben
gehad. Maar dat betekent wel dat er heel veel uitleg komt
te liggen op de schouders van de Autoriteit Persoonsgegevens. We hebben de heer Wolfsen vandaag in de zaal. Hij
is een grote man met brede schouders, maar ik weet toch
niet helemaal zeker of hij alles kan dragen met zijn organisatie, de Autoriteit Persoonsgegevens. Dat is straks de
meest omvangrijke toezichthouder van Nederland als we
kijken naar de taken en bevoegdheden. De ACM en de AFM
hebben allerlei taken die hierop lijken, maar zij hebben bijvoorbeeld geen taken op het gebied van wetgeving. Wanneer het CDA daar in de schriftelijke ronde naar vraagt,
verwijst de minister vervolgens naar het College voor de
Rechten van de Mens. Maar dat doet geen bindende uitspraken en de autoriteit wél.
De Autoriteit Persoonsgegevens krijgt straks een voorlichtende, adviserende en klachtbehandelende taak. Zij krijgt
de verplichting om onderzoek te doen en een handhavende
taak. Vervolgens kan de autoriteit ook boetes opleggen.
Bovendien neemt zij zitting in het comité van toezichthouders. Voorwaarden zoals klachtafhandeling en advisering
zullen beslist leiden tot een verhoging van de werkdruk.
Daar is 7 miljoen voor gereserveerd. Ik denk dat het
belangrijk is dat we de aannames die mogelijk wel duidelijk
maken dat er een hoger bedrag moet worden uitgekeerd
om dit werk te doen, goed in de gaten houden. Komen die
uit of niet? Ik heb uit de schriftelijke behandeling begrepen
dat hier een heel strikte monitor voor komt. Ik denk dat dat

Tweede Kamer

Algemene verordening
gegevensbescherming

belangrijk is. Wij willen dat de autoriteit toegerust is op
deze belangrijke taak.
Maar ik kijk ook naar de bemensing van het college. Het
verbaast het CDA wel dat het college zelf niet wordt uitgebreid. Ik vind dat eigenlijk bevreemdend, omdat je ziet welke
belangrijke taken daar komen te liggen. Dat zijn taken die
onderling misschien wel kunnen schuren. Het CDA heeft
heel vaak gezegd dat het wil dat de autoriteit meer adviserend optreedt. De autoriteit moet niet alleen iedere keer de
bijl hanteren, maar vooral zeggen hoe organisaties ervoor
kunnen zorgen dat ze aan de wetgeving voldoen. Dat hebben we bij alle debatten aan de orde gesteld. Ik herinner
me ook dat het CDA moties heeft ingediend om ervoor te
zorgen dat er meer hulp wordt verleend aan de organisaties
die zich heel graag aan de regels willen houden. Maar nu
gaan we dat werkelijk vormgeven. Dan zien we dat er
eigenlijk niet echt een duale topstructuur is bij de autoriteit.
Wat ons betreft kan dat anders. Daarom hebben we een
amendement ingediend dat ervoor zorgt dat het college
uiteindelijk uit drie personen zal bestaan. Idealiter bestaat
het uit een voorzitter en twee andere leden, waarbij de een
dan over publieksvoorlichting en adviestaken gaat en de
andere over de toezichthoudende en de handhavende rol.
Ik denk namelijk dat dit verschillende expertises kunnen
zijn. Daarom is dat logisch. Ik hoop dat de minister ons
positief wil adviseren.
De heer Verhoeven (D66):
Ik heb in het verleden helaas al eens een debatje met
mevrouw Van Toorenburg gemist, maar dit warme pleidooi
over de Autoriteit Persoonsgegevens is voor mij nieuw. Het
klinkt mij als muziek in de oren. De CDA-fractie kijkt nu
vooral naar een verandering van de structuur en naar een
meer adviserende rol. Prima, ik denk ook dat dat nodig is.
Hoe denkt de CDA-fractie over de capaciteit, de middelen
en de financiën van de Autoriteit Persoonsgegevens?
Mevrouw Van Toorenburg (CDA):
Ik zei al dat we met elkaar hebben besloten dat het met 7
miljoen euro wordt opgeplust. Ik lees dat er een analyse is
gedaan dat het misschien 12 moet zijn en met een uitbreiding en met allerlei aannames misschien zelfs veel meer.
Ik lees ergens 23 of 24. Dat is substantieel meer. Ik kan mij
heel goed vinden in de beantwoording van het kabinet.
Hierin staat dat er aannames zijn gedaan en dat we moeten
kijken hoe een en ander uiteindelijk wordt opgepakt en hoe
bedrijven en organisaties hierop voorbereid zijn. Wat doet
het mkb bijvoorbeeld zelf? Wat doet VNO-NCW? Wat doen
de koepels? Dan kun je misschien wel alles doen met 7
miljoen extra. Dat hoop ik. Als dat niet kan, moeten we hier
met elkaar bekijken — we hebben begrotingen, voorjaarsnota's, najaarsnota's, de hele santenkraam — of het nodig
is dat er extra geld naartoe moet. Ik vind het wel passend
om eerst te kijken wat echt nodig is. Volgens mij doen we
dat vaak zo. Meer kan altijd nog.
De heer Verhoeven (D66):
Dat vind ik heel redelijk klinken. Maar we zien allemaal dat
er een enorme hoeveelheid werk op de Autoriteit Persoonsgegevens afkomt. Dit is een heel grote verordening, met
een heleboel nieuwe uitdagingen voor bedrijven en organisaties. Die zijn net allemaal in dit debat genoemd. Er is dus
ook een grote handhavings-, adviserings- en begeleidings-

8 maart 2018
TK 59

59-4-8

taak. Die ligt echt bij de Autoriteit Persoonsgegevens. Die
waarschuwt hier al lang voor. Ik ben dus heel blij met de
woorden van mevrouw Van Toorenburg. Ik ben het met
haar eens dat we moeten kijken hoe het loopt. Ik zal er straks
zelf ook wat over zeggen. Maar als het nodig is, is er dus
ook bij de CDA-fractie ruimte om na te denken over meer
middelen en meer capaciteit voor de Autoriteit Persoonsgegevens, om dat werk, dat ze zo belangrijk vindt, goed te
doen.
Mevrouw Van Toorenburg (CDA):
Absoluut. We hebben een verordening waar we ons aan
moeten houden. Die is ingegeven vanuit de bescherming
van mensen. Ik vind tegelijkertijd dat we niet alleen moeten
straffen maar dat we mensen vooral moeten helpen om
zich aan de regels te houden. We hebben er veel meer aan
als we een en ander voorkomen. Kijk naar die hel waar die
handbalclub nu in zit. Blijkbaar waren er camera's. Achteraf
hebben we dan allemaal oplossingen, maar er zijn wel
allerlei gegevens, zelfs naaktbeelden, van hen verspreid.
Dit soort ellende moeten we weten te voorkomen. Alleen
afstraffen is niet goed genoeg. Laten we kijken wat er nodig
is om te adviseren, te helpen, zodat je van tevoren zegt dat
je nergens camera's mag ophangen. Dat is ook zo belangrijk. We hebben het dan over nogal wat. Je moet dus proberen het iedere keer een stap voor te zijn, om niet achteraf
te hoeven beboeten. Daar is ruimte en geld voor nodig.
Mevrouw Buitenweg (GroenLinks):
Alhoewel afstraffen soms ook helpt om iets daarna te
voorkomen. Ik heb een vraag. Mevrouw Van Toorenburg
had het over de samenstelling van de Autoriteit Persoonsgegevens. Ik begrijp haar pleidooi voor die uitbreiding goed.
Ik heb eerder een voorstel gedaan om de Tweede Kamer
een rol te geven bij de benoeming van de autoriteit. Hoe
staat het CDA daarin?
Mevrouw Van Toorenburg (CDA):
Ik snap 'm. En tegelijkertijd zie ik ook de beperkingen van
de Kamer wanneer zij mensen moet aannemen. Ik heb
weleens twijfelachtige situaties meegemaakt, waarin we
dachten dat we het goed deden, terwijl we het als Kamer
toch een stuk minder goed deden dan we hadden gehoopt.
Ik weet dus niet zeker of wij dit vanuit een politiek gremium
moeten doen en of die taak echt bij ons hoort. Ik ben
benieuwd naar het advies. Ik sta er niet heel erg afkeurend
tegenover, maar ik vind ook niet dat wij ons als Kamer in
de uitvoering te groot moeten maken. Laten we ervoor
zorgen — hoe dat voor elkaar komt, maakt me niet zo veel
uit — dat daar de expertise komt die nodig is om te voorkomen dat wij binnenkort in de vaste commissie voor Binnenlandse Zaken onze toppers aan moeten nemen. Ik zie ons
alweer zitten met allerlei sollicitaties die sommige mensen
hun leven lang nog nooit hebben gedaan. Mij lijkt dat niet
het beste gremium om ze aan te nemen. Mag ik het zo
voorzichtig formuleren?
Mevrouw Buitenweg (GroenLinks):
Ik vind het nogal een heftige reflectie op het blijkbaar falen
van de Kamer, maar goed, die staat mevrouw Van Toorenburg helemaal vrij. Ik ben blij dat zij daar op zichzelf open
naar wil kijken en het antwoord van de minister wil

Tweede Kamer

Algemene verordening
gegevensbescherming

afwachten, maar mijn punt is juist dat het natuurlijk ook de
overheid controleert en de gegevens van de overheid. Dan
is het logisch dat we niet ook de macht om het college
samen te stellen uitsluitend in handen van de regering
leggen.
Mevrouw Van Toorenburg (CDA):
Nog even over de kwalificatie. Ik denk dat ik voorzichtiger
was dan mevrouw Voortman van GroenLinks in de tijd dat
het hier niet helemaal goed ging. Zij was nog veel harder
in haar oordeel over hoe de Kamer het een keer had gedaan.
De voorzitter:
Zullen we de zijpaden even overslaan?
Mevrouw Buitenweg (GroenLinks):
Ik wil ook even begrijpen wat mevrouw Van Toorenburg
bedoelt.
Mevrouw Van Toorenburg (CDA):
Dat ga ik straks uitleggen. Is dat goed?
Mevrouw Buitenweg (GroenLinks):
Als dit over iets gaat waar zij ooit valselijk van beschuldigd
is, dan …
Mevrouw Van Toorenburg (CDA):
Nee, nee, nee, dit gaat over een andere situatie.
De voorzitter:
Zullen we gewoon weer naar de hoofdzaak gaan?
Mevrouw Van Toorenburg (CDA):
Nee, dat gaat niet over de valselijke beschuldiging, maar
over het oordeel over hoe wij als Kamer soms … Dit gaat
over een amendement en daarom is het wel belangrijk. Het
ging over hoe moeilijk het soms kan zijn om als Kamer
bepaalde functionarissen aan te nemen. Maar ik ben er
gewoon nog niet uit. Ik vind het belangrijk dat het kabinet
hierin adviseert. Ik wil gewoon dat we ervoor zorgen dat
de beste personen op de posten komen. Ik denk overigens
dat de bescherming jegens de overheid niet eens de allergrootste hoeft te zijn. Ik maak mij meer zorgen over kleine
bedrijven die van alles met gegevens doen en die ook niet
doorhebben wat voor een gegevens zij allemaal delen. In
de voorbereiding van dit debat hoorde ik iemand die zich
had aangemeld bij een triatlonclub zeggen dat een verzekeraar daarna had gedacht: goh, dat is interessant, want dat
zijn doorgaans gezonde mensen en dat zij binnen no time
met haar clubje een aanbieding van die grote verzekeraar
had. Dit soort dingen kan natuurlijk niet, maar is nu wel de
praktijk. Ik denk dat het belangrijk is dat we dit via wetgeving proberen te voorkomen.
We hadden het even over het college. Ik denk dat ik daarover genoeg heb gezegd. Ik loop een beetje tijd in door me
aan te sluiten bij de voorgaande sprekers waar het gaat
over de verschillende onderdelen, bijvoorbeeld over de

8 maart 2018
TK 59

59-4-9

leeftijden. Ik vind het belangrijk dat we helderheid krijgen
over het moment waarop een minderjarige nu wel iets mag
delen en waarop niet. Ik zie het nog steeds met angst en
beven aan als kinderen van acht of negen mobiele telefoons
krijgen die niet van tevoren zijn afgeschermd voor allerlei
sms-diensten, waardoor zij helemaal worden bedolven, ook
financieel, door allerlei informatie die weer wordt gedeeld.
Ik denk dat het goed is dat ouders daarvoor moeten tekenen,
ook onder de achttien en misschien vanaf zestien. Ik wil
graag de zienswijze van het kabinet daarop.
Wij hebben nog een paar belangrijke punten van zorg. Ik
kijk naar de verenigingen in ons land. Zij worden vaak
gerund door vrijwilligers en soms door een enkele bezoldigde medewerker, maar het merendeel bestaat uit goedbedoelende mensen die proberen iets voor de samenleving
te doen. De vraag is: wat moeten zij nu allemaal regelen?
Wat is nu voor hen van belang wat deze Uitvoeringswet en
de algemene verordening betreft? Zij houden namelijk heel
erg veel persoonsgegevens bij en verwerken die dus ook.
Is er nu voldoende oog voor deze sector? Ik lees dat sportverenigingen er rekening mee moeten houden dat ze altijd
expliciet toestemming moeten hebben voor het nemen en
plaatsen van foto's. Ik kan mij daar wel wat bij voorstellen.
Tegelijkertijd moet het niet zo'n aflaat zijn in de zin dat je
lid wordt van een vereniging en er meteen voor tekent dat
alles kan worden gedaan. Dat willen we niet. We moeten
alleen ook niet doorschieten in de zin dat als er een fantastische voetbalwedstrijd is en vrijwilligers of vrienden er een
leuke foto van op sociaal media plaatsen de Autoriteit Persoonsgegevens langsfietst omdat dat niet mag. Volgens
mij moeten we dat niet hebben.

Ik had eerder ook nog een vraag gesteld en doe dat nu weer
over de persoonsgegevens van de medische sector.
Gezondheidsgegevens moeten natuurlijk heel erg goed
worden bewaakt en beschermd. Het is terecht dat er heel
hoge eisen worden gesteld aan kwetsbare informatie en
dat er veel zorgen over zijn om die te beschermen, maar
we moeten ook wel opletten dat die bescherming niet wordt
misbruikt, bijvoorbeeld als een soort schild bij kwaliteitscontroles. Kunnen we straks voldoende kwaliteitscontroles
uitvoeren omdat je bepaalde gegevens dan niet meer mag
meewegen? Uiteindelijk ben ik er wel een beetje beducht
voor dat uiteindelijk een kwaliteitscontrole reden kan zijn
voor het verzamelen van gegevens maar dat die vervolgens
niet meer kunnen worden gedeeld, ook medisch niet.
Dan helemaal tot slot nog een vraag die gaat over de
richtlijn die ook nog speelt als het gaat om de uitvoeringswet en de gegevensbescherming ten aanzien van de
opsporing en vervolging. Ik heb het dan over de EU-richtlijn
2016/680. Deze richtlijn ziet op het verwerken van persoonsgegevens door politie en het Openbaar Ministerie. Die zal
er uiteindelijk via een separaat wetsvoorstel komen. Ik heb
begrepen dat we dat op 16 februari hebben ontvangen,
maar de uiterste implementatie van deze richtlijn is 6 mei.
Volgens mij hebben we dus nog wel iets te doen. Ik zeg dit
overigens niet alleen tegen het kabinet maar ook tegen mijn
collega's; volgens mij moeten we aan de bak om ervoor te
zorgen dat we niet een inbreukprocedure hebben voor alle
andere ellende. Dus laten we er als kabinet en als Kamer
voor zorgen dat we deze richtlijn op tijd implementeren.
Het is namelijk zo 6 mei.
Dank u wel.

Daar wil ik vandaag wel wat meer duidelijkheid over hebben, net als over de vraag in hoeverre een vereniging een
functionaris moet hebben voor gegevensbescherming,
zoals bedoeld in artikel 37 van de AVG. Ik lees dat die verplicht is wanneer het gaat om kerntaken, stelselmatig en
regelmatig observeren. Daarbij worden ziekenhuizen en
scholen genoemd. Toch denk ik dan ook aan verenigingen.
Zij houden stelselmatig en regelmatig gegevens bij van
hun leden. Bij sportverenigingen gebeurt dat natuurlijk als
nergens anders. Moeten die dan ook een functionaris aanstellen of is het bijvoorbeeld voldoende wanneer een koepel
dat doet? Kijk naar de KNVB als overkoepelende organisatie,
die dan een functionaris aanstelt die er vervolgens zicht op
houdt dat het voor de verschillende verenigingen goed
gaat. Wat moet er bijvoorbeeld gebeuren ten aanzien van
het privacy-assessment? Moeten alle kleine verenigingen
een privacy-assessment gaan maken? Volgens mij maken
we ze dan gillend gek en hebben we straks geen vrijwilliger
meer in de belangrijke verenigingen van Nederland. We
zijn per slot van rekening wel koploper wat betreft vrijwilligers en verenigingen en dat moeten we niet om zeep helpen.
Verder is er specifieke aandacht vanuit NOC*NSF voor de
gehandicaptensport en de topsport. Als ik het goed begrijp,
is het niet zomaar mogelijk om medische gegevens te verzamelen, ook niet van gehandicapte sporters en topsporters,
maar gelet op die bijzondere verenigingen zijn ze soms juist
wel noodzakelijk. Strikt genomen zijn ze misschien niet
nodig voor de sport zelf maar wel voor de vorm van sport.
Moeten die gegevens dan niet vallen onder de uitzondering
van artikel 30 die bijvoorbeeld is geregeld voor scholen?
Graag een reactie van het kabinet.

Tweede Kamer

Algemene verordening
gegevensbescherming

De voorzitter:
Zo is het. Het woord is aan de heer Van der Staaij van de
fractie van de SGP.

De heer Van der Staaij (SGP):
Mijnheer de voorzitter. Het gaat vandaag, om het in de termen van de Nederlandse Grondwet te zeggen, over de
eerbiediging van de persoonlijke levenssfeer en de manier
waarop er met persoonsgegevens wordt omgegaan. Dat is
een belangrijk onderwerp en een belangrijk rechtsgoed dat
ook in onze eigen Grondwet is vastgelegd. Er is op zichzelf
ook alle reden voor om van tijd tot tijd die regels aan te
scherpen of bij te stellen. We zien dat ook de uitwisseling
van persoonsgegevens is toegenomen in de achterliggende
periode en dat nieuwe technologie een enorme vlucht heeft
gegeven aan die uitwisseling van persoonsgegevens en de
mogelijkheid om zaken op te slaan. Ik noem in dit verband
ook het lekken met alle gevolgen die dat kan hebben voor
de persoonlijke levenssfeer van personen. Dus wat dat
betreft is er dus ook begrip dat je daar in Europa afspraken
over moet maken, want ook die data-uitwisseling trekt zich
niets van grenzen aan.
Daarmee heb ik mij tegelijkertijd uitgeput om wat aardige
en positieve dingen te zeggen over datgene waar we het
vandaag over hebben. Ik moet namelijk bekennen dat ik bij
de voorbereiding van dit debat toch wel enige frustratie
heb opgelopen. Er is vaak niets mooiers dan bij wetgeving
de wet zelf te lezen, los van allerlei stukken, en om dan het

8 maart 2018
TK 59

59-4-10

gevoel te hebben: ja, het is eigenlijk best duidelijk wat deze
wet zegt. Als je dat probeert bij dit wetsvoorstel, dan zie je
dat die uitvoeringswet eigenlijk helemaal leunt, hoewel
begrijpelijk, op die Europese verordening, die Algemene
verordening gegevensbescherming. Maar als je die verordening erbij pakt, denk je: wat een verschrikkelijk wangedrocht is dit, echt zelden zo'n wangedrocht gelezen. Als je
dat gaat doorlezen als eerzame burger, heb je geen idee
wat er van je verwacht wordt. Dan denk ik: ja, de bescherming van de persoonlijke levenssfeer is heel goed en heel
belangrijk, maar het grote slachtoffer van alle Europese
compromissen en afstemming hierover is de rechtszekerheid. Die is geofferd en dat vind ik toch wel uitermate
schadelijk. Juist als we spreken over wat de burger heeft
aan Europa en als we uitspreken dat iedere burger geacht
wordt de wet te kennen, vraag ik me af of de burger weet
wat er van hem of haar verwacht wordt.
Mevrouw Buitenweg (GroenLinks):
Kan de heer Van der Staaij misschien concreet maken waar
er volgens hem een verslechtering is in de rechten van
burgers?
De heer Van der Staaij (SGP):
De verslechtering van de rechten van burgers is mijn punt
niet. Mijn punt is de onduidelijkheid. Mijn ideaal als nationale medewetgever is dat wij wetten maken waarvoor
burgers niet vier jaar moeten studeren en drie adviseurs
moeten inschakelen om te weten wat er van hen wordt
verwacht. Dat moet kunnen, ook op deze onderwerpen. Dat
is hier absoluut niet aan de orde. Dat vind ik echt schokkend.
Mevrouw Buitenweg (GroenLinks):
Ik ben het met u eens dat er nog een hoop te verbeteren
valt, maar eerlijk gezegd vind ik deze verordening leesbaarder dan een hoop andere wetten die we in Nederland
maken, waarin steeds verwezen wordt naar andere wetten
waardoor het onleesbaar is. Mijn punt is dat de heer Van
der Staaij nu doet alsof er een groot drama is voor burgers,
terwijl de rechten van burgers volgens mij gebaat zijn bij
deze verordening. Natuurlijk zijn er grote implementatievraagstukken. Dat is een opdracht waarvoor we niet moeten
weglopen, maar als we dit goed doen, zijn de burgers er
een hoop mee opgeschoten, ook ten opzichte van de huidige situatie.

dat de burger de wet begrijpt, maar deze wet schrijft de
burger niet zo heel veel voor. Het is vooral aan het
bedrijfsleven om hieraan te voldoen, en dan met name het
grote bedrijfsleven, dat door deze wet heel veel eisen op
zich zal krijgen. Zij zijn wel degelijk in staat om deze complexe materie te doorgronden. Ziet de heer Van der Staaij
dat ook zo of maakt het hem niet uit aan wie de wet wat
voorschrijft en vindt hij gewoon dat de wet veel simpeler
moet?
De heer Van der Staaij (SGP):
Ik zie inderdaad dat er verschillen zijn. Daar kom ik straks
in mijn tekst ook nog op terug. Voor heel grote ondernemingen is het makkelijker om een functionaris in dienst te
nemen om te kijken wat de wet precies met zich meebrengt.
Zij zijn ook gewend aan die complexiteit. Mijn zorg zit juist
bij de kleinere bedrijven, de kleinere ondernemingen en de
kerken, bij wat voor een losse gemeente geldt en wat voor
het geheel geldt. Voor hen kan het nog veel lastiger zijn.
Als we niet oppassen, zeggen we: doe maar zo veel mogelijk, want dan zit je het meest safe. Als we daarvoor kiezen,
krijgen we een ongelooflijke administratieve belasting die
achteraf gezien misschien helemaal niet nodig was.
De heer Verhoeven (D66):
Eens. Het midden- en kleinbedrijf, kleine verenigingen en
kerken moeten absoluut niet overvraagd worden door deze
wet. Dat ben ik volledig met de heer Van der Staaij eens. Ik
denk dat we het daar allemaal mee eens zijn. Daar kunnen
we het dus over hebben in de manier waarop we omgaan
met deze wet. Weet u waar de complexiteit vandaan komt,
zou ik via u, voorzitter, aan de heer Van der Staaij willen
vragen …
De voorzitter:
"Weet de heer Van der Staaij waar de complexiteit vandaan
komt?"

De heer Van der Staaij (SGP):
Dat zou best kunnen. Ik zeg niet dat deze wet in de uitwerking voor allerlei drama's hoeft te zorgen. Ik zeg alleen dat
deze Europese verordening en de manier waarop zij vervolgens wordt ingevuld voor ontzettend veel onduidelijkheid
zorgt en dat dit ver afstaat van wat ik als medewetgever
graag wil. Voor burgers moet het zo snel mogelijk duidelijk
zijn waar ze aan toe zijn met een wet.

De heer Verhoeven (D66):
Voorzitter, met uw welnemen ga ik hem dat nu vragen. Die
komt natuurlijk niet van de wetgever vandaan. Die komt
van die verschrikkelijk ingewikkelde verdienmodellen van
die enorme techreuzen die met allerlei totaal ongrijpbare
algoritmes en andere slimme systemen zijn begonnen om
de data van burgers af te pakken. Die complexiteit komt
dus niet van de wetgever, zou ik aan de heer Van der Staaij
mee willen geven. Die complexiteit komt van de grote
bedrijven, die geld willen verdienen. De wetgever kan niet
anders dan meegaan in die complexiteit om daar paal en
perk aan te stellen. Ik hoop dat de heer Van der Staaij daar
oog voor heeft. Anders vind ik zijn pleidooi voor simpele
wetgeving geen recht doen aan de complexe slimheid van
grote bedrijven. Dat zou ik hem mee willen geven.

De heer Verhoeven (D66):
Iedereen is het natuurlijk met de heer Van der Staaij eens
over zo duidelijk mogelijke wetgeving. Dat is helder. Dit
betreft alleen wel een Europese wet over een zeer veelomvattend en complex onderwerp. De heer Van der Staaij
maakt zich nu heel erge zorgen over de burger die deze wet
moet begrijpen. Het is op zich altijd een belangrijk basisidee

De heer Van der Staaij (SGP):
De heer Verhoeven heeft gelijk dat er soms technisch
ingewikkelde regels nodig zijn, omdat er op een technisch
ingewikkelde manier gegevens worden verzameld of gelekt.
Mee eens. Daar hoort u mij niet over; daar heeft u een punt.
Ik kijk bijvoorbeeld naar zo'n artikel 37 van zo'n verordening:
aanwijzing van de functionaris voor gegevensbescherming.

Tweede Kamer

Algemene verordening
gegevensbescherming

8 maart 2018
TK 59

59-4-11

Dat is gewoon een heel belangrijk punt. Je hebt een functionaris voor gegevensbescherming. Wanneer moet je die
nu hebben? Daar zou toch wel duidelijk moeten zijn hoe
dat zit. Dan lees ik: een verwerkingsverantwoordelijke of
de verwerker is hoofdzakelijk belast met verwerkingen die
vanwege hun aard en omvang stelselmatige observatie op
grote schaal van betrokkenen vereisen. Dat zit vol van de
vage begrippen. Daar kan je dus niet zomaar uit afleiden
wanneer een functionaris voor gegevensbescherming nodig
is. Bij een normale nationale wet zouden we zeggen:
minister, kan dat niet in de wet verduidelijkt worden? En
als dat niet in de wet kan, dan zeggen we: dan willen we
het wel in een AMvB hebben. En als we het heel belangrijk
vinden, dan zeggen we: we willen graag nog een voorhang
hebben, zodat we er als Kamer zelf nog naar kunnen kijken.
Nu zeggen we eigenlijk: Europees moet het nu eenmaal zo,
dit is de wet; minister, kunt u nog de Autoriteit Persoonsgegevens … U moet het allemaal gaan uitwerken en we hopen
maar dat het allemaal goed uitpakt. Vervolgens hebben we
weinig instrumenten meer om daar als politiek van te zeggen: vinden we dit eigenlijk nog wel reëel? Dat is een concreet voorbeeld. Dan begrijpt u ook waar ik het over heb.
Ik heb artikel 37 genoemd. Artikel 91 is een bepaling over
kerken en religieuze verenigingen. Dat heeft op de een of
andere manier ook altijd onze belangstelling. Daarin lees
je: als die op het tijdstip van de inwerkingtreding van deze
verordening uitgebreide regels hebben, kunnen die regels
van toepassing blijven, mits zij in overeenstemming worden
gebracht met die verordening. Dan denk ik: wat staat hier
nou eigenlijk? Dat heeft dan niet zozeer met technische
complexiteit te maken. Het heeft waarschijnlijk ook te maken
met heel ingewikkelde compromissen tussen allerlei lidstaten of met allerlei organisaties, die alleen als effect hebben
dat de rechtszekerheid wordt geofferd. Dat vind ik bij deze
wetgeving sterker dan bij welke wetgeving ook die ik mij
van de afgelopen jaren kan herinneren.
Los daarvan vind ik een mooie considerans altijd welkom,
zodat je weet wat er overwogen is bij het vaststellen van
een verordening. Maar als je je hier alleen al door 173
overwegingen heen hebt geworsteld voordat de tekst zelf
begint, waarvan je je voor een deel afvraagt … Er staat bijvoorbeeld een heel mooie overweging in, overweging 13,
die betrekking heeft op een soort gedifferentieerde toepassing voor kleinere organisaties en instellingen. Nou, mee
eens, een goed punt. Dan komt dan voor een deel weer
terug in de tekst van de verordening, bijvoorbeeld als het
gaat om het gegevensregister. Maar op andere onderdelen
staat niet zo duidelijk wat dat betekent. Er wordt niet alleen
gezegd "Autoriteit Persoonsgegevens, ga ermee aan de
slag". Er wordt in die overweging ook gezegd: de lidstaten
worden aangemoedigd om invulling te geven aan die differentiatie voor die kleinere organisaties en ondernemingen.
Dan ben ik benieuwd. Waar staat dat in de Uitvoeringswet?
Daar zal dat dan wel staan, maar ik kom het niet zozeer
tegen. Ik begrijp wel uit de toelichtende tekst dat het zonder
meer bedoeld is voor de regering. Ik zou graag nog een
poging doen om dat in de Uitvoeringswet zelf te verankeren;
vandaar het amendement dat wij op stuk nr. 15 hebben
ingediend, dat verwijst naar die overweging 13. De tekst
van de verordening biedt die ruimte en moedigt niet alleen
de toezichthouders, maar ook de lidstaten zelf aan om daar
invulling aan te geven. Vandaar een poging om dat op deze
manier vorm te geven.

Voorzitter. Ik ben door de interrupties volgens mij al door
een groot deel van mijn tekst heen. Maar laat ik de volgende
vraag vooral nog stellen, die gaat over de beleidsneutraliteit
die de regering ook een beetje als toverwoord gebruikt: wij
willen niet allerlei extra lasten regelen met onze Uitvoeringswet, we willen het uiteindelijk zo sober mogelijk doen en
zo dicht mogelijk blijven bij de regels die er al gelden. Op
zichzelf begrip voor dat uitgangspunt en steun dat wij niet
nog allerlei nationale koppen erbovenop proberen te doen,
zeker. Maar tegelijkertijd denk ik wel: ja maar, het is wel de
bedoeling dat er ook wel een nationale invulling mogelijk
blijft en ook een nationale borging is van onderwerpen
waarop wij het wel belangrijk vinden dat ook Nederland de
mogelijkheden houdt van uitwisseling van persoonsgegevens.
Mijn vraag aan de regering is ook van: zijn die mogelijkheden van beleidsvrijheid in deze verordening nu ook benut,
kan daaraan zo invulling worden gegeven dat ook zaken
die wij belangrijk vinden, ook worden geregeld? Want ik
heb het vanuit de totstandkomingsgeschiedenis zo begrepen
dat er echt de ruimte blijft om, als wij in Nederland zeggen
dat we het vanuit veiligheidsoogpunt — denk aan de hele
discussie rond het omgaan met verwarde personen —
belangrijk vinden dat soms gevoelige informatie goed wordt
gedeeld, om te voorkomen dat zorginstellingen langs elkaar
heen werken, dat dat dan ook mogelijk is. Is het nu op dat
soort belangrijke onderwerpen, zoals op het gebied van de
jeugdzorg en de zorg, goed geregeld? Of kunnen we nu
straks verrassingen krijgen van: ja, nee, maar op grond van
de Europese verordening kan en mag dat niet meer? Die
vraag zou ik aan de regering willen voorleggen.
Voorzitter. Dat als het gaat om de echte beleidsvrijheid die
er is. Wordt die dus ook benut? Maar dan heb je ook nog
weer een zekere beoordelingsvrijheid, geen echte beleidsvrijheid, die gegeven is met vage begrippen in de verordening. We kennen in Nederland nadere regels met echte
beleidsvrijheid van: u mag zelf uitmaken hoe u ermee om
wilt gaan. Maar soms is er ook gewoon een beoordelingsvrijheid om vage begrippen verder invulling te geven. In
hoeverre is die ruimte ook benut door de regering? Dat
proef ik niet zo duidelijk terug in het voorstel. Kan de wetgever hier niet ook nog een belangrijke rol spelen? Of staat
op het hele terrein van persoonsgegevens het nationale
parlement een beetje buitenspel en zeggen we: ja, het is
Europees bepaald en het is aan de Autoriteit Persoonsgegevens om dat verder invulling te geven? Dat zou ik wel
betreuren, omdat het soms typisch een nationale politieke
afweging is hoe het recht op bescherming van de persoonlijke levenssfeer enerzijds moet worden afgewogen tegen
bijvoorbeeld het belang van veiligheid anderzijds. Het is
een heel belangrijk grondrecht, maar niet het enige grondrecht. Daarom moeten we die politieke speelruimte niet
nodeloos uit handen geven. Daar heb ik wel zorgen over.
Ik hoorde de heer Verhoeven al zeggen: nee, dat is niet zo,
er is best wel wat nationale speelruimte. Dat is in ieder
geval bemoedigend, maar ik hoor dat graag ook van de
minister. Dus niet alleen als het gaat om de Autoriteit Persoonsgegevens, want vanuit de structuur van het wetsvoorstel en de verordening is het natuurlijk het makkelijkst om
te zeggen van: autoriteit, doe je best, en ga hiermee aan de
slag. Maar ook als het gaat om: ja maar, wat is nou de
democratische weging die wij ook nog kunnen toepassen?
Voorzitter. Dan heb ik nog een enkele vraag als het gaat om
de positie van de autoriteit. Die krijgt twee kolommen: een

Tweede Kamer

Algemene verordening
gegevensbescherming

8 maart 2018
TK 59

59-4-12

gericht op voorlichting en informatieverschaffing en de
ander gericht op toezicht. Die samenballing van taken —
voorlichting, advisering, toezicht en optreden — roept de
vraag op in hoeverre dat niet kwetsbaar is, ook in juridisch
opzicht, kijkend naar de discussies die we in het verleden
hebben gehad over bijvoorbeeld de positie van de Raad
van State, weer vanuit de jurisprudentie van het Europees
Verdrag voor de Rechten van de Mens, het Hof van
Straatsburg, dat ook wel zegt: ja maar, kan dat eigenlijk wel
in één hand. Je ziet daar een soort strengere invulling van
de ene kant de adviserende rol en de andere kant de concreet optredende rol. Wat betekent dat voor de positie van
de Autoriteit Persoonsgegevens? In dit wetsvoorstel is in
vergaande boetebeperkingen voorzien, die in de praktijk
behoorlijke impact kunnen hebben. Mijn vraag is in hoeverre bescheiden wordt omgegaan met die boetemogelijkheden in de periode waarin de onduidelijkheid nog groot
is. Dat zou voor de hand liggen voor kleinere ondernemingen en organisaties die te goeder trouw zijn en proberen
aan de wet te voldoen, maar nog niet precies doorhebben
hoe het nu zit. Het moet zich voor een deel nog uitkristalliseren — dat blijkt ook uit de bijdragen van andere woordvoerders — terwijl de verordening over een korte tijd al in
werking zal treden. In hoeverre wordt dat verdisconteerd
in de manier waarop met het boetebeleid wordt omgegaan?
Het laatste punt dat ik nog wil noemen, is het punt van de
kerken. Op grond van artikel 17 van het Verdrag betreffende
de werking van de Europese Unie, eerbiedigt de Unie de
status van de kerken in nationale lidstaten. Dat wordt in de
overweging genoemd, maar in de Uitvoeringswet kom ik
de positie van de kerken niet meer zo nadrukkelijk tegen,
hoewel die bijvoorbeeld in het Burgerlijk Wetboek in
Nederland afzonderlijk uitdrukkelijk geregeld is. Ik hoor
graag van de regering een nadere toelichting op de eisen
die in dit kader aan kerken gesteld worden. Kan de regering
garanderen dat het geen enkele inbreuk betekent op de
zelfstandige positie van kerken en het recht om hun eigen
statuut vast te stellen? Blijft de bescherming van kerken die
voortvloeit uit de zelfstandige taken van kerk en staat minstens op het bestaande niveau gehandhaafd? Is de regering
bereid om te waarborgen dat kerken voluit taken kunnen
uitvoeren waarvoor ze in het leven geroepen zijn, onder
meer pastorale zorg voor de leden en andere betrokkenen?
Als allerlaatste punt sluit ik me aan bij de vragen die gesteld
zijn over de leeftijdsgrens.
De voorzitter:
Op het vorige punt nog even, mevrouw Buitenweg.
Mevrouw Buitenweg (GroenLinks):
Dank u wel, mijnheer de voorzitter. Ik zit met de rol van de
kerken versus de vrijheid van het individu. Is de heer Van
der Staaij het met mij eens dat ook de kerk zou moeten
voldoen aan bijvoorbeeld het recht om vergeten te worden,
zodat een burger gelijk uitgeschreven kan worden als hij
dat wenst en dat al zijn gegevens gewist worden?
De heer Van der Staaij (SGP):
Ik denk dat dit de bestaande praktijk is. Er was geen
behoefte of reden om hierin verandering te brengen, voor
zover ik weet. Mijn vraag is of dit inderdaad zo is op grond

Tweede Kamer

Algemene verordening
gegevensbescherming

van deze wetgeving en wat het gaat betekenen voor de
positie van kerken. Ik denk dat zeker bij rechten van burgers
kan horen dat zij die gegevens gewist kunnen krijgen uit
de betreffende registers. Dank u, voorzitter.
De voorzitter:
Ik dacht dat u nog een punt had over de leeftijdsgrens.
De heer Van der Staaij (SGP):
Ja, daarover heb ik mij aangesloten bij de vragen die door
collega's zijn gesteld. Het is inderdaad een belangrijk punt,
maar ik heb er zelf niet veel aanvullende vragen over.
De voorzitter:
De laatste spreker van de zijde van de Kamer is de heer
Verhoeven van de fractie van D66.

De heer Verhoeven (D66):
Dank, voorzitter, voor het woord. Ik wil mij bij voorbaat al
aansluiten bij heel veel vragen die mijn collega's gesteld
hebben. Ik zal daarom proberen om het kort te houden. Ik
zal zeker niet aan de 75 minuten komen. Ik denk dat ik een
aantal punten zal aanstippen met betrekking tot deze Uitvoeringswet, die natuurlijk in het kader moet worden gezien
van de grote veranderingen die plaatsvinden in het leven
als gevolg van allerlei nieuwe technologie en digitalisering.
Ik denk dat ik niet overdrijf als ik zeg dat digitalisering elk
aspect van ons leven steeds vaker en steeds sneller verandert. Dat wordt ook heel concreet in ons dagelijks leven.
Het is wel zo dat dit vaak gepaard gaat met allerlei afkortingen, zoals 3D-printen, IoT, artificial intelligence AI, de Wiv,
CC3 en ook allerlei Engelse termen, zoals crypto, blockchain,
big data, drones en smart cities. Die geven nog een gevoel
van een abstracte afstandelijkheid die ons niet zou raken,
maar het is natuurlijk gewoon zo dat het niet meer onze
wekkerradio is die ons 's ochtends wakker maakt, maar ons
mobieltje. Als we eenmaal wakker zijn, halen we niet meer
de krant uit de brievenbus, maar lezen we het nieuws op
onze smartphones en tablets. Voordat je de deur uit stapt,
kijk je niet naar de wolken om te weten of je een paraplu
mee moet nemen, maar krijg je gewoon een bericht of het
regent, of de trein te laat is of je afspraak misschien verzet
is. 's Avonds kijk je niet meer naar analoge televisie, die
door sommige kabelaanbieders zelfs niet meer wordt aangeboden, maar ga je gewoon naar Netflix om een serie te
kijken. Dat is hoe ons leven verandert. Digitalisering is
gewoon niet meer weg te denken uit ons dagelijks leven.
De komende jaren zal dat alleen maar verder toenemen.
We sluiten bijvoorbeeld ook steeds meer apparaten aan op
het internet. Dat zijn echt niet alleen maar camera's, maar
ook koelkasten, tandenborstels en barbiepoppen. Dat neemt
overigens weer allerlei nieuwe dilemma's met zich mee.
Op dit gebied is er bijvoorbeeld het vraagstuk van de veiligheid. Ik ben overigens heel blij dat het kabinet gisteren
bekend heeft gemaakt dat er standaarden gesteld gaan
worden, ook weer Europese standaarden, aan op internet
aangesloten apparaten.
Maar niet alleen veiligheid komt onder druk te staan of
verandert door allerlei technologische verandering. De

8 maart 2018
TK 59

59-4-13

werkgelegenheid is bijvoorbeeld ook een vraagstuk dat
verandert door digitalisering, automatisering en robotisering. De welvaartsverdeling wordt beïnvloed door allerlei
digitale systemen. De sociale samenhang in onze samenleving kan onder druk komen te staan door digitalisering. En
uiteraard — daar hebben we het vandaag over; ik heb even
een aanloopje genomen — komt ook onze privacy onder
druk te staan als gevolg van allerlei nieuwe technologieën
en het op steeds grotere schaal delen en ophalen van data.
Die trend wordt ook wel samengevat als "big data". Deze
wet gaat over die privacy en die data. Door het gebruik van
al die apparaten, al die diensten en al die applicaties genereren we steeds meer data over ons dagelijks leven, onze
voorkeuren en onze gezondheid. Het gevolg is dat bedrijven
en overheden steeds makkelijker steeds meer over ons te
weten komen.
Vandaag hebben we het over een privacyverordening. Het
is een Europese verordening, een Europese wet, die vooral
van toepassing is op het bedrijfsleven. Maar er komt ook
nog een richtlijn aan, de e-Privacyrichtlijn, die meer geldt
voor overheden. Die komt ook nog deze kant op. Maar
vandaag gaat het dus over de privacyverordening voor
bedrijven. Bedrijven hebben decennia geleden al besloten
om burgers online te gaan volgen met een commercieel
voordeel als reden — overigens zonder dat tegen burgers
te vertellen. Ze wilden gewoon geld verdienen op basis van
de informatie die ze uit het internetgebruik van internetgebruikers konden halen. Dat hebben ze eerst gedaan door
middel van cookies, kleine bestandjes die op je computer
worden gezet op het moment dat je online bent. Maar
inmiddels verzamelen bedrijven niet meer alleen via cookies
allerlei informatie, maar worden er allerlei andere methodes
ingezet om zo veel mogelijk data van burgers te verzamelen,
want hoe meer data, hoe meer geld. Dat is het perverse
verdienmodel — en ik noem het inderdaad een pervers
verdienmodel — van de grote technologiebedrijven, die
daar hun grote beurswaarde aan te danken hebben.
De heer Koopmans (VVD):
Ik luister met veel aandacht naar het betoog van de heer
Verhoeven. Hij noemt net de enorme privacyzorgen wat
betreft de relatie tussen burgers en overheid. Hij noemt ook
de zorgen wat betreft de relatie tussen burgers en bedrijven.
Vind ik de heer Verhoeven ook naast mij als ik aandacht
vraag voor wat ik de "horizontale privacy" of de "onderlinge
privacy" noem, namelijk de privacy tussen burgers onderling? Want de enorme digitalisering, waar hij terecht aandacht voor vraagt, heeft ook effect op alle middelen waarmee burgers elkaar kunnen begluren, bespioneren en volgen. Net werd al even het Nederlandse handbalteam
genoemd, dat zonder het te weten gefilmd en exposed is.
Dat is waarschijnlijk een voorbeeld van burgers die elkaars
privacy schenden. Vind ik de heer Verhoeven ook naast mij
als ik aandacht vraag voor die onderlinge privacy?
De heer Verhoeven (D66):
Ja, daar vindt de heer Koopmans mij naast zich. Ik denk
wel dat er bij de verhouding tussen burgers onderling meer
sprake is van gelijkwaardigheid dan wanneer het gaat om
machtige overheden en machtige techbedrijven die de privacy van burgers aanraken. Daarom ben ik meer geneigd
om daar paal en perk aan te stellen. Maar daarmee wil ik
niet zeggen dat het punt van de heer Koopmans niet
belangrijk zou zijn. Dat zie ik absoluut. Ik weet dat hij daar

Tweede Kamer

Algemene verordening
gegevensbescherming

druk mee bezig is, en ik volg zijn activiteiten op het vlak van
de horizontale privacy met een bijzondere belangstelling.
Voorzitter. De gevolgen van het verdienmodel van die
technologiebedrijven betekenen dat Facebook ons vaak
beter kent dan onze vrienden en familie, dat Google tot op
de minuut nauwkeurig weet waar we de afgelopen jaren
zijn geweest en dat makers van slimme horloges onze
gezondheid beter kennen dan onze dokter. Daarom is het
goed dat na twintig jaar de privacywetgeving op Europees
niveau wordt gemoderniseerd. Het is ook goed dat er paal
en perk wordt gesteld aan die toch wel toenemende en in
mijn ogen doorgeschoten datamacht van de socialmediaplatforms en techreuzen. Daar is deze wet wat mij betreft
het belangrijkst voor. Ik spreek alle collega's na die hebben
gezegd dat we de bakker op de hoek, het midden- en
kleinbedrijf, de vereniging, de handbalclub, de kerk en de
zelfstandigen met deze wet niet op allerlei lasten en kosten
moeten jagen. Ik weet zeker dat de minister dat straks ook
gaat zeggen. Dat is niemands wens. De wens is dat de
burger beschermd wordt tegen grote bedrijven die op een
doorgeslagen manier onze privacy schenden. Daar doet
deze wet heel goede dingen voor.
Van de cookiewet, die ik laatst al even aanhaalde, was de
intentie op zich terecht, maar de wettelijke uitvoering was
slecht. We hebben iets gecreëerd wat wel terecht een probleem aanstipte, maar de oplossing die we kozen, was niet
goed. Daarom ben ik blij met de, zoals de heer Van der
Staaij dat noemde, beleidsneutrale of technologieneutrale
benadering die in de Uitvoeringswet is gekozen. Er wordt
voor gekozen om zo veel mogelijk vanuit uitgangspunten
te redeneren en niet vanuit een bepaalde techniek. Ik denk
dat dat een heel verstandige keus is. De heer Van der Staaij
en ik hadden het zojuist al even over de complexiteit. Juist
die technologische complexiteit leidt ertoe dat sommige
wetgeving heel ingewikkeld kan zijn. Ik herinner mij een
debat met de voormalige minister van Economische Zaken,
de heer Kamp, waarin de hele Kamer drie uur heeft staan
debatteren over de precieze invulling van de term "expliciete
toestemming": wanneer geef je nou wel of niet expliciete
toestemming aan een website om jou tot een bepaald
niveau te gaan volgen? Daar hebben we met z'n allen drie
uur over gedebatteerd. Dat was een goed debat, maar dat
ging over twee woorden, waarbij de precieze lading werd
vertaald naar de manier waarop we het internet gebruiken.
Kortom, je ontkomt niet aan complexe wetgeving als het
gaat om de slimme, digitale en complexe verdienmodellen
van die bedrijven. Ze zijn bewust moeilijk gemaakt, met
daarbovenop een makkelijk laagje, namelijk: even klikken.
Maar daarachter zit een hele wereld en die moet je met
complexe wetgeving aanpakken.
Wat gebeurt er door deze wet? Mensen krijgen meer controle over hun data. Ze kunnen data inzien, veranderen,
wissen en meenemen. Het recht op vergetelheid wordt
geborgd en mensen hebben ook recht op een menselijke
blik in plaats van alleen maar geautomatiseerde besluitvorming op basis van profielen en algoritmes. Dat is een goede
eerste stap. Ik zei zojuist al dat het vooral daarop gericht
moet zijn en niet op de mkb'er die zijn werknemersbestand
zo goed mogelijk probeert te regelen. Het gaat mij wat dat
betreft dus om hulpvaardige handhaving, zoals de heer
Koopmans van de VVD dat noemde. Ik heb in mijn tekst
staan "menselijke handhaving". Dat is wat ik aan de minister
zou willen vragen: is de minister van zins om ervoor te
zorgen dat die onafhankelijke toezichthouder, waar hij niet

8 maart 2018
TK 59

59-4-14

aan de touwtjes kan trekken, zo goed mogelijk die gedienstige, begeleidende handhaving verzorgt ten opzichte van
de doelgroepen waar dat voor nodig is?
De heer Van der Staaij ging zojuist al even in op de verhouding tussen Europees en nationaal. Het is een verordening.
Het grootste deel moeten we dus gewoon direct overnemen.
Daarom wordt onze huidige Wet bescherming persoonsgegevens vervangen door deze AVG, de Algemene verordening gegevensbescherming. Er is inderdaad wel enige
beleidsvrijheid, maar ik zou willen zeggen: laten we die
beleidsvrijheid benutten waar dat goed is voor bepaalde
nationale sectoren of situaties, maar we moeten die niet
ten koste laten gaan — dat is een andere balans die we
moeten zoeken — van het eenduidige speelveld dat we juist
zoeken om er met z'n allen in Europa voor te zorgen dat
Amerikaanse bedrijven zich overal aan dezelfde regels
moeten houden en dat Nederlandse start-ups weten waar
ze aan toe zijn als ze bijvoorbeeld in Bulgarije, Polen of
Luxemburg klanten willen vinden. Het is dus wel een zoektocht naar de juiste balans tussen een gelijk speelveld en
nationale beleidsvrijheid. Ik ben benieuwd naar de reactie
van de minister daarop.
Ik heb nog een paar laatste vragen, zoals gezegd in aanvulling op al die reeds genoemde goede punten waar ik me
grotendeels bij aan kan sluiten. De eerste vraag betreft de
leeftijdsgrens voor de toestemming voor het verwerken
van persoonsgegevens. We zien in allerlei wetgeving vaker
leeftijdsgrenzen opduiken; volgens mij heeft mevrouw
Buitenweg van GroenLinks een amendement ingediend
over een leeftijdsgrens. Vaak zijn die leeftijdsgrenzen heel
slecht onderbouwd, ook omdat het heel moeilijk is om die
te onderbouwen. Daarom heeft mijn collega Vera Bergkamp
de Raad voor Volksgezondheid en Samenleving gevraagd
om de willekeur van leeftijden te onderzoeken. Waarom
stellen we leeftijdsgrenzen eigenlijk op een bepaalde leeftijd,
of het nou gaat over stemmen, drinken van alcohol of het
mogen aanmaken van een socialmediaprofiel? Dat is bij al
dat soort vraagstukken vaak vrij arbitrair. De raad komt
waarschijnlijk na de zomer met zijn advies. Ik wil de minister
daarom vragen om dat advies mee te nemen in de manier
waarop in deze wet naar de leeftijdsgrens wordt gekeken.
Ik krijg graag een reactie op de vraag of hij daartoe bereid
is.
Tot slot nog twee punten over de Autoriteit Persoonsgegevens. Allereerst over de eis uit de Algemene verordening
gegevensbescherming voor de toezichthouder om te
beschikken over een afzonderlijke publieke jaarbegroting.
Dat is nu niet goed geregeld. Is de minister het met me
eens, vraag ik hem, dat de Autoriteit Persoonsgegevens
een eigen niet-departementale begroting toegekend zou
moeten krijgen? Als ik de warme woorden van het CDA net
hoorde over de Autoriteit, dan ben ik van mening dat ook
andere leden in deze Kamer aan het kijken zijn naar de
manier waarop we het budget, maar ook de eigenstandigheid van het budget, goed kunnen regelen.
Voorzitter, mijn laatste punt. Daarnaast heeft de Autoriteit
laten onderzoeken hoeveel extra werk die nieuwe
bevoegdheden opleveren en hoeveel budget daarvoor nodig
is. Daarbij zijn de drie scenario's ontwikkeld van wat noodzakelijk is om op een efficiënte en effectieve wijze invulling
te geven aan de nieuwe taken en bevoegdheden. Dat zijn
de scenario's laag, midden en hoog. De Autoriteit geeft aan

Tweede Kamer

Algemene verordening
gegevensbescherming

dat met de extra middelen het scenario laag nog niet eens
gehaald wordt. Daar hadden we het net met mevrouw Van
Toorenburg al over. D66 pleit al jaren voor een stijging van
het budget van de Autoriteit Persoonsgegevens. Wij hebben
destijds in een Techvisie een verdriedubbeling voorgesteld.
In het regeerakkoord is er volgens mij 7 miljoen bijgekomen,
althans, in de aanloop naar het regeerakkoord via de
Voorjaarsnota van het vorige jaar is er 7 miljoen bijgekomen. Dat was op zich een goede stap, maar het scenario
laag zou ongeveer 20 miljoen kosten, dus komen we daar
nog 5 of 6 miljoen voor tekort. Mijn vraag aan de minister
is: hoe gaan we daar op een verstandige manier mee om?
In afwachting van zijn beantwoording zal ik eventueel met
een genuanceerde motie komen om werkende weg te kijken
hoe we omgaan met een goede verhouding tussen het
budget en de capaciteit van de Autoriteit Persoonsgegevens
en een nieuw takenpakket in de komende maanden en jaren.
Voorzitter, daar wil ik het graag bij laten.
De voorzitter:
Wij bereiden ons voor op uw genuanceerde motie.
De heer Verhoeven (D66):
Eigenlijk hoef ik dat niet te zeggen, want het is een pleonasme.
De voorzitter:
U zegt het zelf, ik citeer u alleen maar.
De heer Verhoeven (D66):
Het is eigenlijk een pleonasme, want het gaat altijd alleen
maar om genuanceerde moties.
De voorzitter:
Een genuanceerde interruptie van de heer Van Nispen.
De heer Verhoeven (D66):
Dat is dan weer een tautologie, denk ik.
De heer Van Nispen (SP):
Voorzitter, u kent mij. Ik heb zelf ook een zeer genuanceerde
motie voorbereid op het punt van het budget. Daar gaan
we straks naar kijken. Wat die onafhankelijke begroting
betreft vraag ik mij af of de heer Verhoeven nog niet tevreden was met de nota van wijziging, die volgens mij recht
doet aan de wensen op dit punt. Overigens — maar dat is
een zijpad, voorzitter — is het wel jammer dat D66 niet ook
enthousiast is waar het gaat om de onafhankelijke begroting
voor de rechtspraak.
De voorzitter:
En dan uit het zijpad vandaan.
De heer Van Nispen (SP):
Uit het zijpad en terug naar het budget. De heer Verhoeven
stelt terecht de vraag hoe we daar de komende tijd naar
gaan kijken. Ik had ook een Techvisie opgespoord waarin

8 maart 2018
TK 59

59-4-15

wordt gepleit voor een verdrievoudiging van het budget.
Dat zou meer recht doen aan de scenario's die dat onderzoek heeft opgeleverd. Vlak na de inwerkingtreding van de
verordening hebben we toevallig de Voorjaarsnota. Wat
vindt de heer Verhoeven dat er zou moeten gebeuren bij
de Voorjaarsnota?
De heer Verhoeven (D66):
Dank u voor de verschillende vragen. Ik zal niet op zijpaadjes
ingaan, voorzitter. Dat vergt mij wel enige discipline, maar
goed.
De voorzitter:
U kunt het.
De heer Verhoeven (D66):
De heer Van Nispen stelt eigenlijk een aantal vragen. Ik
denk dat we nu geen uitspraken moeten doen over de
Voorjaarsnota. Ik ben in afwachting van het antwoord van
de minister, en ben van zins om de komende maanden te
gaan kijken hoe de Autoriteit het in de realiteit doet, dus
even los van alle scenario's en voorspellingen. We kunnen
de wereld niet voorspellen, soms vallen dingen mee, soms
vallen ze tegen. Ik wil de komende maanden gaan kijken
hoe het gaat, en als het niet goed gaat wil ik in navolging
van de woorden van mevrouw Van Toorenburg in actie
komen. Misschien dat de Voorjaarsnota daarvoor om de
hoek komt, daar moeten we nog even naar kijken. Ik ga daar
nu niet op vooruitlopen.
U had nog een andere vraag, en wel over de nota van wijziging. Die was vanochtend ingediend en komt volgens mij
al een heel eind in de goede richting. Als de minister zegt
dat het daarmee geregeld is, dan schrap ik dit punt.
De heer Van Nispen (SP):
De inwerkingtreding van deze verordening is 25 mei van
dit jaar. Kort daarna hebben we de Voorjaarsnota, er zitten
maar een paar weken tussen. Ik denk ook dat dat heel kort
is, maar vraag mij toch af of we de minister niet de vraag
zouden kunnen stellen om ook in die paar weken tussen
het moment van de inwerkingtreding en de Voorjaarsnota
heel goed te bekijken wat het extra is dat op de Autoriteit
afkomt. Het lijkt misschien te kort, maar het zou zomaar
kunnen zijn dat er vanaf 25 mei heel veel vragen om voorlichting terechtkomen, heel veel verzoeken om handhaving
en signalen van mensen en voorlichtingsvragen van kleine
bedrijven die zich afvragen hoe ze een en ander in de
praktijk moeten doen. Misschien is dat toch een interessante
vraag aan de minister.
De heer Verhoeven (D66):
Bij dezen leid ik die vraag dan door. Ik luister ook met de
heer Van Nispen mee naar het antwoord. Over twee dingen
kan ik heel duidelijk zijn. D66 heeft al eerder gezegd dat er
meer geld naar de autoriteit zou moeten gaan dan nu het
geval is. Dat is wat wij willen. We hebben in coalitieverband
natuurlijk gepraat over allerlei zaken en dan moet je keuzes
maken. Er is niet genoeg geld voor alle wensen van alle
partijen in dit land; dat weet de heer Van Nispen ook. We
hebben nu die stap naar 7 miljoen gezet. Ik merk aan zowel

Tweede Kamer

Algemene verordening
gegevensbescherming

de coalitiepartners als de minister dat ze zeer serieus zijn
over de enorme hoeveelheid taken die de Autoriteit Persoonsgegevens erbij gaat krijgen. Als we daar op een goede
manier naar willen kijken, zou een paar weken weleens te
kort kunnen zijn, maar als er dingen volledig misgaan, zullen
we absoluut kijken naar wat we dan moeten doen. We zullen
de komende maanden absoluut gaan kijken naar de mate
waarin de Autoriteit in staat is om al die verschillende vragen en handhavingstaken op een goede manier in te vullen.
Ik doe natuurlijk geen toezegging op iets, want dat past mij
niet, maar ik heb wel gevoel voor uw punt en ik wil daar
serieus naar kijken.
De heer Van der Staaij (SGP):
De heer Verhoeven heeft beklemtoond dat de wet nodig en
waardevol is voor de Googles van deze wereld, maar we
hebben ook de zorgen besproken over bijvoorbeeld kleine
instellingen en organisaties. Wat betekent dit nu voor hen?
Om een concreet voorbeeld te noemen: vindt de heer Verhoeven ook dat het niet de bedoeling zou moeten zijn dat
een zelfstandig schoolbestuur met een schooltje van 150
of 175 leerlingen een aparte functionaris voor gegevensbescherming krijgt?
De heer Verhoeven (D66):
Kijk, een functionaris is een middel om bepaalde zaken
goed te regelen. Het is inderdaad waar dat in de UAVG niet
helemaal precies goed staat wanneer iets wel of niet moet.
Ik ben geneigd om te zeggen dat die school op geen enkele
manier vergaand zal ingrijpen in de privacy van de burgers
die door deze verordening beschermd worden. Dan ben ik
geneigd om te denken dat ik niet moet gaan beoordelen of
het wel of niet nodig is, maar dat de school in eerste
instantie zelf beoordeelt of die dat nodig vindt. Als zij vinden
dat het niet nodig is, omdat ze een aantal dingen niet doen
op basis waarvan zo'n functionaris nodig zou zijn, is dat
een eerste oordeel waar we van uit moeten gaan. En dan
moet de autoriteit op een bepaalde manier kijken of die
school daar gelijk in heeft. Als de school daar per ongeluk
geen gelijk in heeft, moet de school ruim de tijd krijgen om
daar op een goede manier op in te spelen. De school moet
dan absoluut niet gelijk met een stok op de vingers geslagen
worden. Maar de school moet zelf de inschatting maken of
het nodig is of niet, omdat de school wel of niet veel gegevens bewerkt. Mijn inschatting is dat de meeste scholen
niet op dat niveau zitten, maar dat is mijn inschatting. De
inschatting is niet aan mij, want ik ben geen handhaver. Ik
ben wetgever. En in dit geval ben ik eigenlijk meer uitvoeringswetgever, omdat de Europese wet gemaakt is door de
Europese Unie.
De heer Van der Staaij (SGP):
Ik heb ook gekeken naar de richtlijn die er is, want de verordening is niet duidelijk. De richtlijn die erover gaat heeft
ook weer 28 kantjes, en dan weet je eigenlijk nog niet precies of het nu wel of niet noodzakelijk is in zo'n geval. Stel
dat er wordt gezegd: we leggen het maar ruim en veilig uit,
dus het moet wel. Dat betekent dan een enorme administratieve last. Als we dat niet willen en ons afvragen of het wel
nodig is, wat kunnen we dan als wetgever of controleur
nog doen?

8 maart 2018
TK 59

59-4-16

De heer Verhoeven (D66):
Wanneer moet je nou wel of niet iets doen? Als je veilig
gaat zitten haal je jezelf meer op de hals dan nodig is en
daar zijn we bang voor, zegt u. U doet nu een beetje alsof
dat bij deze wet …
De voorzitter:
De heer Van der Staaij doet nu …
De heer Verhoeven (D66):
Ja, voorzitter, de heer Van der Staaij doet dat inderdaad.
En u zegt dan tegen mij dat ik dat eigenlijk tegen u moet
zeggen om dat aan de heer Van der Staaij duidelijk te
maken.
De voorzitter:
U zegt het tegen mij als u "u" zegt.
De heer Verhoeven (D66):
Ja, nee, dat had ik dus inderdaad beter niet kunnen doen,
voorzitter.
De heer Van der Staaij doet nu een beetje voorkomen of
dit unieke probleem zich alleen bij deze wet afspeelt. Hiervan is natuurlijk sprake bij bijna alle wetten. Bij elke wet die
aangenomen wordt, hoor je organisaties die ermee te
maken krijgen, vragen stellen over de precieze reikwijdte.
Laten we kijken hoe we de reikwijdte van deze bovengemiddeld complexe wet op een goede manier kunnen duiden,
zodat schoolbesturen, kerken, verenigingen en handbalclubs
er geen last van krijgen. Maar we kunnen niet in deze Uitvoeringswet allemaal dingen op gaan schrijven met heel
harde grenzen, want die harde grenzen leveren ook weer
problemen op. Ik denk dat de schoonheid van deze wet juist
zit in het zelf mogen inschatten of je wel of niet een grote
gegevensbewerker bent. Als je vindt dat je dat niet bent, is
er ruimte om een aantal dingen niet te doen. Als je daar op
een goede manier handhavend mee omgaat, kan dat juist
minder belasting geven in plaats van meer belasting. Dat
is mijn inschatting.
De voorzitter:
Prima, dank u wel. We gaan even schorsen. De minister
heeft gevraagd om een schorsing van 25 minuten. Niet om
20 minuten en niet om 30 minuten, maar om 25 minuten.
Daarna gaan we luisteren naar de antwoorden van de
minister.
De vergadering wordt van 11.55 uur tot 12.22 uur geschorst.
De voorzitter:
Het woord is aan de minister.

Minister Dekker:
Voorzitter. Ik ben blij dat we vandaag het wetsvoorstel van
de uitvoeringswet Algemene verordening gegevensbescherming plenair behandelen. Ik herhaal wat ook een aantal
woordvoerders al heeft gezegd: het is een heel belangrijke

Tweede Kamer

Algemene verordening
gegevensbescherming

wet. Als het gaat om de verwerking van persoonsgegevens
staat er heel veel op het spel. We hebben het hier over een
grondrecht. Je zou kunnen zeggen: zonder de bescherming
van de persoonlijke levenssfeer is er geen sprake van vrijheid. Mensen moeten erop kunnen vertrouwen dat overheden en bedrijven zorgvuldig en rechtmatig omspringen met
hun gegevens. Het wordt misschien nog wel pregnanter
als we ons realiseren dat onze samenleving en de manier
waarop geld wordt verdiend in de wereld steeds meer
gedreven worden door data. Het is dus van groot belang
dat de rechten van burgers worden gewaarborgd en vooral
ook dat de mogelijkheden van burgers om die rechten te
kunnen uitoefenen worden versterkt. Dat is precies waar
deze AVG in voorziet.
Het is ook belangrijk vanwege de andere kant van het verhaal. De verwerking van persoonsgegevens speelt een
steeds grotere rol in het economische verkeer. Naast het
beschermen van persoonsgegevens is het tweede doel van
de AVG het waarborgen van een grotere en vrijere ruimte
in Europa voor het vrije verkeer van persoonsgegevens. De
geautomatiseerde verwerking van persoonsgegevens is bij
uitstek niet aan landsgrenzen gebonden. Dat maakt dat het
economisch verkeer erbij is gebaat dat die regels in de
Europese ruimte zo min mogelijk verschillen per land. Dat
is het tweede grote ding dat de AVG beoogt. Wat betekent
dat in de praktijk? Laten we eens een groot Nederlands
bedrijf nemen, een bedrijf dat internationaal opereert in
verschillende landen, een grote bank, bijvoorbeeld ING.
Dat heeft nu te maken met 28 verschillende nationale wetten
en straks met één AVG, waarin in ieder geval de backbone,
de belangrijkste beginselen, in Europa gelijk zijn geregeld.
Nu heeft dat bedrijf te maken met 28 verschillende autoriteiten persoonsgegevens. Straks kan het terecht bij één,
namelijk de Nederlandse. Dat is pure winst.
Ook voor gewone mensen zoals u en ik verandert er het
een en ander in het voordeel. Stel dat je een vliegticket
koopt bij een buitenlandse vliegmaatschappij. Ik noem maar
wat: het illustere airBaltic. Als je, nadat je het ticket hebt
gekocht, voortdurend spam krijgt waarvan je denkt: hé, dat
is toch gek, dat heeft te maken met het ticket dat ik daar
heb gekocht, maar het was niet mijn bedoeling dat ik met
het kopen van dat ticket mijn gegevens gaf voor allerlei
doeleinden waarvoor ze nu worden gebruikt. Als je daar nu
wat aan wilt doen, moet je naar de Letse autoriteit persoonsgegevens. Ik moet u bekennen dat mijn Lets niet zo heel
erg goed is. Straks kun je naar de Nederlandse Autoriteit
Persoonsgegevens, die contact opneemt met de Letse. Die
neemt dat weer terug en meldt dat terug aan de klager. Ik
denk dat voor burgers in Nederland echt pure winst is dat
we met deze nieuwe regelgeving gaan werken.
Voorzitter. Dat als inleiding vooraf. Ik wilde mijn betoog
opbouwen langs een aantal lijnen. Ik wilde kort iets zeggen
over de wet zelf, over het proces, over de timing en over
hoe om te gaan met de open normen in de wet. Dat is
eigenlijk de wet in de basis. Mijn tweede grote thema is
wat de maatschappelijke effecten zijn van deze wet voor
bijvoorbeeld bedrijven en andere organisaties, sportverenigingen, kerken et cetera. Het derde grote thema dat ik heb
kunnen destilleren uit de vragen en opmerkingen van
Kamerleden gaat heel erg over de Autoriteit Persoonsgegevens: de taakopvatting, de opstelling, de bemensing, de
bemiddeling, het geld en de begroting. Dan heb ik noodgedwongen een blokje met specifieke thema's die aan de orde
zijn gesteld, bijvoorbeeld de journalistiek, e-Court, algorit-

8 maart 2018
TK 59

59-4-17

mes. Die heb ik maar even in een groot blok "varia" gedaan.
Tot slot wil ik commentaar geven op alle amendementen
die zijn ingediend.
Voorzitter. Laat mij beginnen met het wetsvoorstel zelf.
Over de inhoud van de AVG is op Europees niveau ruim 4
jaar onderhandeld door 28 lidstaten. Destijds is de Kamer
door mijn ambtsvoorgangers voortdurend over de onderhandelingen geïnformeerd en daar ook nauw bij betrokken
geweest. De AVG is inmiddels een feit. Op 25 mei worden
de normen uit de AVG ook rechtstreeks van toepassing in
alle lidstaten van de EU. Dat dit nu een voldongen feit is,
wil niet zeggen dat de Tweede Kamer destijds geen invloed
heeft gehad op de Nederlandse inbreng in de onderhandelingen.
Op dit moment is het zaak om ervoor te zorgen dat de
voorliggende Uitvoeringswet gelijktijdig met de AVG op 25
mei in werking kan treden. Dat is in Nederland van heel
groot belang. Ik heb al het een en ander gekenschetst in de
schriftelijke behandeling, want als dit niet het geval is,
belanden we in allerlei ongewenste situaties. Dat moeten
we in mijn ogen koste wat kost voorzien. Er zit dus flink wat
tempo op dit proces. Ik vind dat Nederland niet heel erg
achterloopt op veel andere landen in Europa. Ik geloof dat
de heer Van Nispen vroeg hoe het in andere landen zit en
of we ons hier en daar zorgen maken. Ik geloof dat alleen
Duitsland en Oostenrijk al tot afronding van het wetsproces
zijn gekomen. Alle andere 26 lidstaten zijn op dit moment
ook heel erg druk bezig om, net als in Nederland, de wetgeving door het parlement heen te loodsen.
Om dat soepel en zo snel mogelijk te doen, is het wel een
heel bewuste en nadrukkelijke keuze geweest om, los van
de veranderingen die de AVG met zich meebrengt, de
beleidskeuzes die er nog wel in zitten, zo veel mogelijk
beleidsneutraal door te voeren. Die zijn in lijn met de manier
waarop het thans geregeld is in de Wet bescherming persoonsgegevens. We doen dat om het zo vloeiend mogelijk
te doen en om niet boven op de veranderingen die de AVG
al met zich meebrengt nog eens nieuwe nationaalrechtelijke
regels te introduceren.
Dat betekent niet dat we dat niet op termijn zouden moeten
doen. Ik zie mevrouw Buitenweg al naar de interruptiemicrofoon toe komen. Ik heb namelijk heel goed gehoord dat
we bij een aantal van de punten waarbij we de ruimte
hebben, wat langer stil zouden kunnen staan en daarover
zouden kunnen discussiëren. Neem bijvoorbeeld de leeftijdsgrens. Die kopiëren wij vanuit de Wet bescherming
persoonsgegevens in de UAVG.
Ik zou graag een procesvoorstel voor willen doen. Dan ga
ik daarna inhoudelijk in op het punt dat genoemd is. Ik zou
graag direct na afronding van dit wetsvoorstel de mogelijkheden verkennen voor verdere modernisering en verbetering van het gegevensbeschermingsrecht. De onderwerpen
die zojuist zijn aangestipt, zal ik daar ook heel graag bij
betrekken. Ik zal een of twee van die onderwerpen er straks
ook nog wel uitlichten omdat daar wat meer specifieke
vragen over waren. Daarbij zal ik ook mijn overwegingen
meegeven waarom ik er misschien voor zou kiezen om dat
in de tweede fase te doen. Laten we daar dus maar het
debat over voeren. Ik wil graag in kaart brengen wat de
precieze juridische implicaties zijn van nadere wijziging.
Ook zou ik graag een zorgvuldig proces willen doorlopen
om met verschillende belangenorganisaties en bedrijven

Tweede Kamer

Algemene verordening
gegevensbescherming

te bekijken wat precies de voor- en nadelen zijn. Dan kan
ik u een brief sturen om aan te geven wat eruit komt als je
het net ophaalt. Daarbij wil ik ook concrete voorstellen doen
over wat er wat mij betreft in een tweede ronde van deze
UAVG zou kunnen worden meegenomen. Volgend jaar,
dus in 2019, zou die wet dan in consultatie kunnen gaan.
Voorzitter. Dit is dus de beleidsneutrale variant. Daarmee
is het dus niet klaar, maar gezien het tempo dat we moeten
aanhouden, zou het zeer mijn voorkeur hebben om zo veel
mogelijk te kiezen voor de wet zoals die nu voorligt. Dan
gaan we daarna een verdiepingsslag maken.
Mevrouw Buitenweg (GroenLinks):
De minister had mij eigenlijk wel gepacificeerd toen hij zei
dat hij zo meteen nader in zou gaan op de vragen over bijvoorbeeld de leeftijdsgrens. Maar nu zegt hij voor de tweede
keer dat het beleidsneutraal is. Juist doordat er nieuwe
rechten worden gegeven aan personen, pakken de afspraken die er wel degelijk zijn, bijvoorbeeld een bestaande
leeftijdsgrens, volgens mij niet beleidsneutraal uit, omdat
de implicaties voor burgers toch anders zijn. Als er nu
inderdaad gehandhaafd wordt, heb je voor het downloaden
van een app van NU.nl of voor googelen elke keer weer de
toestemming van je ouders nodig als je onder de 16 bent.
Dat pakt niet beleidsneutraal uit. Is de minister dat met mij
eens?
Minister Dekker:
Naar mijn beste weten is het ook nu in de Wet bescherming
persoonsgegevens zo dat je onder een bepaalde leeftijd
toestemming nodig hebt van je ouders. Dan wordt hier
natuurlijk gevraagd hoe dat er in de praktijk precies gaat
uitzien. We hebben allemaal vrienden met kinderen of we
hebben zelf kinderen en zien dan natuurlijk ook dat dat lang
niet altijd gebeurt. Laat ik even een parallel maken met het
burgerlijk recht. Minderjarige kinderen, zeker kinderen onder
de 16, mogen bijvoorbeeld geen overeenkomsten aangaan.
Als een kind van 10 een ijsje gaat kopen, betekent dat formeel volgens de wet dat het toestemming van zijn ouders
nodig heeft om een financiële transactie aan te gaan. In de
praktijk gebeurt dat eigenlijk niet of nauwelijks, maar een
ouder kan altijd zijn toestemming terugroepen bij het aangaan van dat soort overeenkomsten. Ik wil u meegeven dat
ik best met u de discussie wil aangaan of je misschien van
16 naar 14 moet of zelfs naar 13. Dat is de benedengrens.
Ik zie ook dat allerlei landen dat verschillend hebben geregeld. Dat vind ik overigens wel een wat zwak punt in de
AVG, want dat laat toch zien dat de poging om dit binnen
Europa te uniformeren nog niet helemaal lukt. Ik zit daar
helemaal niet principieel in, maar als we dat gaan doen,
zou ik het persoonlijk heel prettig vinden als we aan de
Kamer gewoon helder aangeven wat de consequenties en
implicaties zijn en wat de samenhang is met bijvoorbeeld
andere wetgeving. Minderjarigen hebben op heel veel
fronten formeel toestemming nodig van hun ouders om
bepaalde rechtshandelingen te plegen.
Mevrouw Buitenweg (GroenLinks):
Nu begrijp ik dat de verdediging van de minister eigenlijk
is dat het op dit moment ook niet wordt gehandhaafd.
Daarom zou er niet zo'n heel groot probleem zijn. Volgens
mij is het de bedoeling dat de wet en de verordening die
we hier bespreken, en ook de voorliggende Uitvoeringswet

8 maart 2018
TK 59

59-4-18

wel gehandhaafd worden. Dus het idee is dat het weinig
problemen zal geven, omdat het eigenlijk ook nu al een
beetje een fictieve toestemming is. Dat lijkt me een zwakke
verdediging, omdat de bedoeling juist is dat het instemmen
van burgers met de verwerking van hun data voortaan niet
meer fictief is. Daarmee zal er wel degelijk iets veranderen
voor de jongeren.
Minister Dekker:
Ik heb het voorbeeld aangedragen, omdat je ook in andere
wet- en regelgeving ziet dat leeftijdsgrenzen worden
gehanteerd en dat daar in de praktijk een mouw aan wordt
gepast. Er wordt dan ook gekeken naar redelijkheid en billijkheid. Ik gaf net het voorbeeld van een 12-jarige die een
ijsje gaat kopen. Als je na een jaar nog een keer daarop
terugkomt en zegt dat je daar geen toestemming voor
gegeven had, zal de rechter toch echt zeggen: dat is dan
pech gehad. Maar als een kind van 12 een duur ding heeft
aangeschaft op het internet en je als ouder zegt dat je het
niet zo bedoeld had, dan heb je wel degelijk een titel in het
burgerlijk recht om daarop terug te komen. Het gaat hier
om de gegevensverwerking. De heer Verhoeven of de heer
Van der Staaij — ik weet niet meer wie het was — gaf aan
dat de persoonsgegevens, ook van kinderen die minderjarig
zijn, gebruikt worden. Het gaat niet alleen om het aanmaken
van een profiel op Facebook, maar ook om de vraag of een
minderjarig kind zich bewust is van wat er met zijn privégegevens precies gebeurt. Dat is een ingrijpend iets. Ik wil
best de discussie met u aangaan over de vraag of je niet
naar 14 of eventueel naar 13 terug moet, maar het verhaal
heeft ook een andere kant, namelijk dat kinderen zonder de
toestemming van ouders hun privégegevens kunnen weggeven en dat allerlei bedrijven, als ze daar toestemming
voor hebben gegeven, daar vervolgens dingen mee kunnen
doen. Nogmaals, ik zeg nu niet dat ik dit principieel niet wil,
maar ik wil die brug pas overgaan als we de consequenties
daarvan goed hebben doordacht. Vandaar mijn voorstel
om te kijken of we dit in een tweede fase kunnen doen.
Mevrouw Buitenweg (GroenLinks):
De minister gaf een aantal voorbeelden waarin het ging
over betalen. Dat is ook een handeling met groot rechtsgevolg. Maar het gaat natuurlijk ook over het abonneren op
een nieuwsbrief en het googelen van een boek voor je
werkstuk. Het is toch te zot als je daarvoor steeds naar je
ouders moet? Althans, ik zou dit ook niet willen als ouder.
Ik zie me al zitten, dat ik elke avond weer ergens vinkjes
moet zetten. Dat lijkt me dus niet de weg die we op moeten
gaan. Het is goed dat we dit opnieuw gaan bekijken. Maar
ik denk dat er in de komende maanden, als er inderdaad
gehandhaafd wordt, echt een andere uitwerking komt dan
nu het geval is in de huidige situatie. En dat vindt GroenLinks in ieder geval niet wenselijk.
Minister Dekker:
Ik noteer de opvatting van mevrouw Buitenweg. Bij een
aantal voorbeelden die zij aandraagt, zeg ik van mijn kant
ook onmiddellijk dat dat een beetje gek zou zijn. Ik betwijfel
wel of alle voorbeelden die u noemt, onmiddellijk onder
het regime van de Avg vallen. Je kunt op internet namelijk
heel veel dingen doen zonder dat je je persoonsgegevens
weggeeft, bijvoorbeeld in zoekmachines kijken. Het heeft

Tweede Kamer

Algemene verordening
gegevensbescherming

echter mijn voorkeur om deze discussie in de tweede fase
met elkaar te voeren.
Voorzitter. Dan zijn er een aantal vragen gesteld over de
systematiek van de wet. De heer Van der Staaij vroeg hoe
om te gaan met de begripsbepaling in de wet. Dat is
natuurlijk best een worsteling geweest, ook in Europees
verband. Er is gekozen voor vrij algemene en vrij open
normen. Dat heeft aan de ene kant een nadeel als je het
eigenlijk veel concreter en veel specifieker wilt weten. Aan
de andere kant heeft het een voordeel. De heer Verhoeven
refereerde daaraan, namelijk dat je in een omgeving en in
een wereld waarin de technologische ontwikkelingen heel
snel gaan eigenlijk toe moet naar een zoektocht naar principes die straks, als de techniek verandert, ook weer hanteerbaar en geldend zijn. Daarom is de keuze gevallen op
vrij algemene begrippen en vrij open normen.
Die moeten natuurlijk in de praktijk worden ingevuld. Dat
gebeurt op verschillende niveaus. De verantwoordelijkheid
van bedrijven en organisaties die verwerkingsverantwoordelijk zijn, staat uiteraard voorop, maar daar helpen we ze
wel bij. Dat doen wij vanuit onze kant door aan te geven
welke normen zij worden geacht precies op te pakken en
uit te voeren. Daar hebben wij allerlei materiaal voor ontwikkeld, samen met de Autoriteit Persoonsgegevens. De
toezichthouder voert op nationaal niveau toezichtbeleid,
zowel in algemene richtlijnen als in het concrete toezichten boetebeleid. Dat betekent ook dat dit in de uitwerking
van deze wet nader vorm krijgt.
Laat ik misschien even een parallelletje trekken naar het
burgerlijk recht: ook in het burgerlijk recht staan natuurlijk
vrij brede en open normen. Neem bijvoorbeeld het begrip
van de onrechtmatige daad. Wat is een onrechtmatige daad
eigenlijk? Maar het feit dat we zo'n open begrip hebben in
het burgerlijk recht, dat in de praktijk vorm krijgt middels
jurisprudentie en onafhankelijke rechterlijke uitspraken,
maakt zo'n juridisch begrip ook wel weer heel erg tijdloos
en op heel veel plekken en fronten goed toepasbaar. Dat is
ook een beetje waarvan ik hier hoop dat een aantal van de
open normen straks in de uitvoering nader handen en
voeten krijgen en in de jurisprudentie verder worden uitgewerkt. Op Europees niveau stelt het Europees Comité voor
gegevensbescherming ook allerlei algemene richtlijnen op.
Verder stelt de Europese Commissie nog enige gedelegeerde en uitvoeringshandelingen op. Dat alles is natuurlijk
qua omvang verschillend van de huidige situatie, maar in
essentie, qua aard, wellicht niet.
De heer Van der Staaij stelde ook de vraag: waar stem ik
nu straks mee in? Betekent de UAVG en het regime van de
AVG dat we straks heel strikte privacynormen hebben en
dat als we dat bijvoorbeeld willen doen op het gebied van
veiligheid, met veiligheidshuizen of in de jeugdzorg, overheidsinstanties niet meer met elkaar kunnen communiceren
omdat we hier vandaag wellicht ja tegen zeggen? Ik denk
dat ik die zorg kan wegnemen. Een van de principes in de
UAVG is immers dat er heel veel kan als daar een wettelijke
basis voor is of als bijvoorbeeld individuele gebruikers daar
toestemming voor geven. Bij een aantal voorbeelden kan
ik daar dan denk ik straks ook wel wat kou uit de lucht halen.
Dat betekent dus dat er voor u als parlement een heel
belangrijke taak en rol liggen om straks aan te geven waar
u vindt dat organisaties op de grond van de wet die u maakt
en die u vaststelt, wel gerechtigd zijn om persoonsgegevens

8 maart 2018
TK 59

59-4-19

uit te wisselen. Ik zal in ieder geval vanuit mijn rol daarom
ook voorzichtig zijn met hier in heel veel discussies
beschuldigend naar Brussel wijzen of met zeggen dat iets
niet meer kan omdat het zo in de UAVG geregeld is. Ik vind
dat wij veel meer naar onszelf moeten kijken. We hadden
hier onlangs een interessant debat over het terugdringen
van recidive in het gevangeniswezen waarbij ook werd
gezegd: het is voor gevangenissen en gemeenten ingewikkeld om gegevens over ex-gedetineerden met elkaar uit te
wisselen. Dat kan allemaal in feite op basis hiervan, maar
dan moeten we het in onze nationale wet- en regelgeving
wel goed met elkaar regelen en vastleggen.
De heer Van der Staaij (SGP):
De minister zegt dat de wetgever op dit terrein juist wel aan
de bak kan, om het zo maar te zeggen. Daar is juist van
belang dat er formeel wettelijk ook echt een expliciete
regeling is. Dat ben ik met hem eens. De vraag is wel in
hoeverre dat nu ook bij deze Uitvoeringswet betrokken is.
Ik zie daar wel algemene bepalingen in staan, ook op het
terrein van wat er nodig is voor de gezondheid en de veiligheid, maar is daarbij wel nadrukkelijk aangesloten op de
gangbare praktijken om te voorkomen dat deze wet leidt
tot een inperking van de mogelijkheden die we nu in het
belang van veiligheid en gezondheid kennen?
Minister Dekker:
Een enorme verdere inperking is niet de bedoeling geweest
van dit wetsvoorstel. Dit wetsvoorstel ziet toe op zorgvuldig
beheer en goede beveiliging van persoonsgegevens. Ik ga
er niet omheen draaien. Dit betekent voor heel veel organisaties dat zij eens goed moeten kijken naar de huidige
manier waarop zij dat doen. Er zit echt een aantal nieuwe
dingen in waarvoor ze aan de slag moeten, willen ze het
goed regelen. Denk bij voorbeeld bij grote bedrijven en een
ingewikkelde, complexe behandeling van persoonsgegevens aan zo'n gegevensfunctionaris. Voor vrij eenvoudige
dingen moet je het in ieder geval in kaart gebracht en
geregistreerd hebben. Zo is er een aantal nieuwe dingen
in dit wetsvoorstel. Ik voorzie niet onmiddellijk dat dit voor
een aantal van de reguliere dingen die we met zijn allen
geregeld hebben een enorme beperking biedt, althans, dat
is niet de intentie. Het zou kunnen dat we daar natuurlijk in
de praktijk wel tegenaan lopen. Daarom vind ik een aantal
van de suggesties die gedaan zijn, ik geloof door u, meneer
Van der Staaij, maar ook door de heer Koopmans, om heel
goed te blijven volgen hoe dit uitwerkt, cruciaal. Dat ga ik
ook doen. Ook vind ik de suggestie cruciaal dat we dingen
waar we wellicht in de praktijk tegenaan gaan lopen in onze
nationale wetgeving goed moeten regelen. Ik sluit ook niet
uit dat er nog dingen zijn waarvan we zeggen: ja, daar lopen
we in de AVG zelf tegenaan. De heer Van der Staaij was
wat kritisch over in ieder geval de Europese teksten. Het
kan zijn dat we ons achteraf afvragen of die goed werkbaar
waren. Ik weet dat mijn voorganger, Stef Blok, rond de
zomer toen er een Europese Raad was, dit ook heel
nadrukkelijk in Europa heeft geagendeerd. Hij heeft daarbij
gezegd: kijkend naar de AVG komt er heel veel op bedrijven
en organisaties af, we moeten de vinger aan de pols houden, niet alleen landelijk maar ook Europees. Als dat tot
dingen leidt, dan kom ik bij u terug en gaan we samen
bedenken hoe we dat moeten doen en of we dat in Nederland kunnen doen dan wel of we terug moeten naar Brussel.

Tweede Kamer

Algemene verordening
gegevensbescherming

De heer Van der Staaij (SGP):
Dat betekent concreet ook dat als het gaat om wat deze wet
biedt op basis van de verordening, het niet de bedoeling is
om te komen tot een inperking van de uitwisseling van
gegevens in het kader van bijvoorbeeld de zorg voor verwarde personen en de manier waarop dat nu functioneert?
Dat moet gewoon door kunnen gaan?
Minister Dekker:
Daar ziet het niet op. Deze wet beoogt om de manier waarop
wij en bedrijven en instellingen omgaan met persoonsgegevens beter te regelen en niet om dat enorm in te krimpen
of te beperken. Ik sluit niet uit dat er staande praktijken zijn
— ook daar ben ik de afgelopen maanden wel een paar keer
tegen aangelopen — waarbij organisaties een manier van
werken hadden en zich er nooit bewust van waren dat dit
misschien ook onder de huidige wet- en regelgeving al dan
niet kan en mag, er nu met de nieuwe wet- en regelgeving
plotseling achter komen dat ze het moeten aanpassen en
veranderen. Dus er zullen best een aantal dingen zijn die
anders moeten. Feitelijk betekent dit dan wellicht een wat
strikter en zorgvuldiger omgaan met die dingen. U kunt er
wel van op aan dat als dit leidt tot onwenselijke knelpunten,
bijvoorbeeld in de jeugdzorg, het onderwijs of de sport, ik
daar dan graag mee terugkom. Vandaar de vraag om de
vinger aan de pols te houden, om te evalueren en om bij
wijze van spreken over een halfjaar terug te komen om te
laten zien wat het heeft opgeleverd. Dat lijkt mij heel erg
nuttig en dan kunnen we daarover de discussie aangaan.
De heer Van Nispen (SP):
Ik begrijp de voorgestelde aanpak van de minister. Ik ben
zelf ook niet zo ver dat ik ten aanzien van al die punten
waarover ik vragen heb gesteld, concrete voorstellen indien
omdat ik ervan overtuigd ben dat het anders moet en het
beter kan, maar er zijn wel veel zorgen die we hier ook
allemaal hebben benoemd. Het liefst zouden we de
behandeling van een wet in één keer goed willen doen en
willen kunnen zeggen: en zo gaat het zijn. Maar ik heb wel
begrip voor de voorgestelde tweefasenaanpak. Stel nou
dat na 25 mei 2018 blijkt dat bijvoorbeeld sporters met een
beperking niet meer hun sport kunnen beoefenen omdat
niet meer geregistreerd mag worden welke beperking zij
hebben. Het gaat dus om evident onmenselijke gevolgen
die niet beoogd zijn. Is er dan nog ruimte voor interpretatie
op dat moment of moeten we dan wachten totdat de
inventarisatie is afgerond en er een nieuw wetsvoorstel
komt? Ik bedoel dat niet alleen op het gebied van sport,
maar dit is even ter illustratie van het punt dat ik wil maken.
Minister Dekker:
Als er echt acute of zeer urgente knelpunten zijn, kom ik
eerder bij u terug. Sterker nog, ik heb het vermoeden dat
u mij dan aan mijn jasje gaat trekken en mij naar de Kamer
roept en zegt: hé, we hebben ingestemd met een wet maar
dit was niet de bedoeling. Dan gaan we kijken wat we
daaraan kunnen doen. Als het gaat om de maatschappelijke
impact en consequenties van deze wet- en regelgeving,
worden soms ook beren op de weg gezien die er niet zijn
en zijn er zaken die zonder wetswijziging heel eenvoudig
zijn te omzeilen of zijn op te lossen. Ik heb zelf — ik twijfel
of ik dat moet zeggen in dit huis — ook wel eens de indruk
dat er rond de invoering van deze nieuwe wet- en regelge-

8 maart 2018
TK 59

59-4-20

ving een beetje een industrie is ontstaan van allerlei bureaus
en adviseurs die graag het beeld willen neerzetten dat het
heel veel vraagt van organisaties en dat als je niets doet,
je een enorme boete om je oren krijgt. Los van de terechte
dingen die moeten veranderen, is dat een beetje bangmakerij met de optiek om er een mooie opdracht door te krijgen, in de zin van: wij weten precies hoe je dat kunt voorkomen. Ik wil kijken naar wat er echt nodig is. Laat ik het punt
van de gehandicapte sporters er dan toch even uit pikken.
Ik heb ook de brief van NOC*NSF gelezen. Die verbaasde
mij eigenlijk wel een beetje. Ik ga graag met ze in gesprek
om te kijken wat er echt aan de hand is. Ik denk dat als je
als gehandicapte sporter actief bent in een sport en gewoon
toestemming geeft voor het verwerken van die gegevens,
er niets aan de hand is. Dan kan het gewoon.
De heer Verhoeven (D66):
Ik denk dat het goed is dat de minister net die dingen heeft
gezegd over het belang dat bepaalde organisaties kunnen
hebben bij het gevoel dat heel veel organisaties heel veel
moeten doen om aan deze wet te voldoen en dat ze er
daardoor ook weleens een verdienmodel voor zichzelf in
zien. Dat moeten we absoluut zien te voorkomen, dus ik
ben blij dat de minister dat gezegd heeft. Ik ben heel
benieuwd hoe hij, als de uiteindelijk verantwoordelijke voor
de uitvoering en de uitvoeringspraktijk in Nederland, wil
zorgen voor een goede balans tussen het navolgen van die
belangrijke privacyregels, waar we allemaal een gevoel bij
hebben, en het voorkomen van allerlei overdreven en
onnodige ingrepen door allerlei organisaties die niet in de
categorie van zware gegevensbeschermers zitten.
Minister Dekker:
Ik wil dat doen door goede, neutrale en onafhankelijke
voorlichting te geven. Daarom ben ik zelf blij met de
adviesfunctie die de Autoriteit Persoonsgegevens krijgt.
Wij dragen zelf ons steentje bij vanuit het ministerie van
Justitie en Veiligheid om ook grotere en middelgrote
bedrijven, als het gaat om de zwaardere regimes, precies
aan te geven wat voortvloeit uit de wet, wat moet en wat
niet. Ik hoop dat ook brancheverenigingen daarbij helpen.
Ik ga graag partnerschappen aan. Dat doen we bijvoorbeeld
al met VNO-NCW en met MKB Nederland, maar wat mij
betreft doen we dat ook met partijen als NOC*NSF en als
het gaat om het onderwijs met de PO-Raad en de VO-raad
om dat goed inzichtelijk te maken. Ik geloof dat wat hierin
staat echt een verbetering is. Als organisaties daar nog niet
aan voldoen, geloof ik dat het in hun belang is en ook in
het belang van bijvoorbeeld de kinderen die op een school
zitten of de sporters die aangesloten zijn bij een vereniging,
dat de organisatie waarmee zij te maken hebben het been
bijtrekt. Maar we zijn hier niet om alles onmogelijk te
maken. Dat vind ik heel belangrijk.
Misschien mag ik nog een ding meegeven aan de heer
Verhoeven. Ik deel heel erg zijn punt over de grote databedrijven, de Googles en de Facebooks van deze wereld, maar
deze wet- en regelgeving is er niet alleen maar om hen te
reguleren. We moeten ons echt realiseren dat het gebruik
van data op heel veel fronten gebeurt. Ook in het middenen kleinbedrijf gaat dat een steeds grotere rol spelen, en
ook in andere organisaties. Neem bijvoorbeeld de school.
Vroeger paste je daar een mouw aan en ging het allemaal
zo. Maar tegenwoordig, met alle digitale leermiddelen die

Tweede Kamer

Algemene verordening
gegevensbescherming

er zijn, moeten we heel goed nadenken over hoe bijvoorbeeld ook een kleine school omgaat met de gegevens die
ze hebben van leerlingen, omdat het gaat om kwetsbare
kinderen. Die hoeven misschien geen heel zwaar regime
op te tuigen, maar ik zou het eigenlijk wel goed vinden als
ook een kleine school of een voetbalvereniging, net zoals
je een penningmeester hebt die op de centen let, aan
iemand vraagt: hou jij bij wat er binnen onze organisatie
gebeurt als het gaat om de verwerking van persoonsgegevens, want dat is gevoelig en dat moeten we goed geregeld
hebben.
De heer Van der Staaij (SGP):
De minister noemt nu het punt van de scholen. Ik had daar
zelf ook nog een opmerking over. Hoe zit het bijvoorbeeld
met zo'n functionaris voor gegevensbescherming? Daar is
dan discussie over. De minister zegt dat het altijd goed is
om goed met persoonsgegevens om te gaan en daar oog
voor te hebben. Helemaal mee eens. Je zou ook nog kunnen
zeggen: maakt het nou veel uit of je een functionaris hebt;
het is altijd wel goed dat iemand ervoor verantwoordelijk
is. Maar dan is de vervolgstap weer dat aan zo'n functionaris
allerlei eisen verbonden zijn: je moet scholing hebben.
Voordat je het weet, kom je toch weer in een bureaucratie
terecht waarvan we ons afvragen: is dat allemaal wel de
bedoeling? Wat is de reactie van de minister op dat punt?
Minister Dekker:
Ik wilde eigenlijk net beginnen aan het hele blok over de
maatschappelijke impact. Ik heb de wetgeving afgerond. Ik
wilde nu eigenlijk toe naar de vraag wat dit betekent voor
organisaties, voor bedrijven. Daar komt dit ook aan bod. Ik
kijk naar de voorzitter, of ik kijk naar u. Als aan het einde
van het blokje deze vraag nog niet is beantwoord, dan vind
ik het ook goed om daar nog even op terug te komen, maar
hij komt aan de orde in wat u nu wil gaan vertellen.
De heer Van der Staaij (SGP):
Ik vind het prima dat het wat later komt. Dan nu alleen even
meer het algemene punt. De minister gaf aan dat het zelfs
voor kleine organisaties goed is om er oog voor te hebben.
Al heb je het maar over tien mensen, het gaat wel om
kwetsbare gegevens soms. Mee eens, maar is hij het op
het niveau van deze algemene gedachtewisseling met mij
eens dat we wel oog moeten hebben voor de gevaren van
de enorme administratieve lasten die het tot gevolg heeft
en die eigenlijk niet meer in verhouding staan tot het belang
dat we dan willen dienen met elkaar?
Minister Dekker:
Dat ben ik helemaal met de heer Van der Staaij eens. Het
gaat ook om proportionaliteit en om risicogericht werken.
Ik gaf net aan dat het ook goed zou zijn als bij wijze van
spreken de voetbalclub iemand benoemt in zijn bestuur of
in zijn organisatie die ook nadenkt over wat je doet met
gegevensverwerking, maar een gegevensfunctionaris zoals
de wet die voorschrijft voor complexe handelingen, is daar
niet per se nodig. Dat geef ik even aan opdat de heer Van
der Staaij niet nu denkt dat ik zeg dat ook daar gegevensfunctionarissen moeten worden aangesteld en ingesteld.
De wet geeft precies aan wanneer dat moet. Ik ga daar
straks wat over zeggen. Maar daar vallen voetbalclubs,

8 maart 2018
TK 59

59-4-21

tenzij ze heel bijzondere dingen doen waarvan ik geen weet
heb, niet onder.
Voorzitter. Wat betekent dit dan voor bedrijven en voor
organisaties? Er bestaat onmiskenbaar enige spanning
tussen de twee doelstellingen van de AVG die ik zojuist
noemde: het beschermen van het grondrecht enerzijds en
het garanderen van een meer vrije uitwisseling van persoonlijke gegevens anderzijds. Toch liggen de bescherming van
persoonsgegevens en de bevordering van de interne markt
in elkaars verlengde, want naarmate de technologische
ontwikkelingen en de technologische mogelijkheden toenemen, wordt ook de behoefte aan spelregels groter. Omgekeerd zou je kunnen zeggen dat de bereidheid van consumenten om gegevens te verstrekken, toeneemt naar de
consument weer meer vertrouwen heeft in de wijze waarop
zijn gegevens worden verwerkt. Dus een hoog en een goed
niveau van bescherming van persoonsgegevens bevordert
ook juist het vrije economische verkeer binnen de EU.
Dit gezegd hebbende is het allereerst van belang om te
constateren dat de AVG weliswaar nieuwe elementen bevat
en ook wel hier en daar accenten verschuift, maar dat de
basisbeginselen voor rechtmatige verwerking van persoonsgegevens zoals verankerd in de Wet bescherming persoonsgegevens, dus de huidige wet, eigenlijk stevig overeind
blijven staan. Ik durf ook wel de stelling aan dat voor
bedrijven en organisaties die al voldoende voldoen aan de
eisen die op grond van de Wbp gelden, en die dus ook zelf
goed inzicht hebben in hun eigen informatiestromen,
eigenlijk dat nieuwe AVG-regime helemaal geen grote
aardverschuiving is. Even los van het feit dat je natuurlijk
ook al aan ziet komen dat deze wetgeving straks in werking
treedt, omdat 27 april 2016 al in Europa die wetgeving is
vastgesteld.
Maar dat de AVG evident voordelen heeft, maakt niet dat
ik mijn ogen sluit voor de inspanningen die organisaties
en bedrijven zich nu moeten getroosten om de gegevensverwerking die zij uitvoeren door te lichten en eventueel
hun bedrijfsprocessen aan te passen. Vooral op het vlak
van verantwoording en transparantie eist de AVG meer dan
voorheen van verwerkingsverantwoordelijken.
Voor bedrijven die ook nog eens bezig zijn met een inhaalslag — omdat ze op dit moment niet voldoen aan de eisen
van de Wet bescherming persoonsgegevens — zal het been
bijtrekken, naarmate dat achterstallig onderhoud groter is,
vanzelfsprekend navenant meer tijd en inspanning vergen.
Ik heb daar zeker ook oog voor. Ik werk ook al geruime tijd
samen met de AP en bijvoorbeeld ook met VNO-NCW om
allerlei inspanningen te verrichten om de boel in goede
orde te laten verlopen, op maat gesneden informatie ter
beschikking te stellen aan alle bedrijven en organisaties om
hen zo wegwijs mogelijk te maken in de nieuwe regels die
per 25 mei ingaan.
Ik ga heel snel gewoon eens even heen door een aantal
dingen die we doen. De Commissie is onlangs een zeer
omvangrijke voorlichtingscampagne gestart. De artikel-29groep, zeg maar de voorloper van het Comité, heeft
inmiddels een aantal richtsnoeren uitgebracht, die zien op
de AVG en bijvoorbeeld gaan over rol en positie van de
functionaris gegevensbescherming of over de gegevensbeschermingseffectbeoordeling: wat moeten we precies verstaan onder het fenomeen van profiling? Het ministerie van

Tweede Kamer

Algemene verordening
gegevensbescherming

J en V heeft onlangs een toegankelijke handleiding AVG
gepubliceerd. Die handleiding is primair bedoeld voor
bedrijven en organisaties die hun organisatie op de nieuwe
wet- en regelgeving willen voorbereiden. Speciaal voor
kleine ondernemers wordt eind maart ook nog eens een
keer daarbovenop een praktische, compacte brochure uitgebracht, omdat je het niet alleen inzichtelijk wilt maken
voor de juristen van grote bedrijven, maar ook voor bij wijze
van spreken de detailhandel, midden- en kleinbedrijf en
kleinbedrijf.
Er zijn de afgelopen tijd verschillende bijeenkomsten georganiseerd door de AP voor specifieke branches, waarvan
we weten dat ze met heel veel persoonsgegevens te maken
hebben: de financiële sector, lokale overheden, onderwijs,
zorg en de advertentiesector. Daarop richt de AP specifiek
haar voorlichting. En het is zo dat er een meer algemene
campagne is gestart, een voorlichtingscampagne, op 29
januari jongstleden, waarbij ook heel concrete regelhulpen
worden aangeboden aan organisaties die hiermee aan de
slag willen.
In algemene termen kan ik niet al te veel zeggen over wat
het precies van bedrijven en organisaties vergt, omdat dat
heel erg afhangt van de mate waarin zij persoonsgegevens
verwerken en ook van waar zij eigenlijk nu al staan: voldoen
ze al heel erg goed aan de huidige Wet bescherming persoonsgegevens dan wel moeten ze een been bijtrekken?
Maar laat ik eens een aantal voorbeelden geven, bijvoorbeeld voor, het werd al genoemd, de voetbalclub: we hebben in Nederland een heel rijk verenigingsleven, die dit
natuurlijk ook allemaal op zich af zien komen. Het is, vind
ik, uiteindelijk belangrijk dat ook zij zich realiseren dat ze
persoonsgegevens van hun leden verwerken en dat daar
soms ook heel gevoelige, bijzondere persoonsgegevens
tussen kunnen zitten. Denk bijvoorbeeld aan gegevens over
kinderen waarbij iets medisch meespeelt. Daarom dient
zo'n club erop toe te zien dat ook die gegevens niet zomaar
aan derden worden verstrekt, maar netjes worden bewaard,
beheerd en goed worden beveiligd. Dat houdt ook in dat
ze hun ledenbestand goed moeten beveiligen. Maar al met
al zijn het in mijn ogen wel redelijke eisen en activiteiten
en inspanningen die je van deze verenigingen vergt die in
mijn ogen ook wel behapbaar zouden moeten zijn.
Voorzitter. Dan vroeg de heer Koopmans of er nou met deze
wet voldoende aandacht is voor de veilige opslag van
gegevens. Ik denk dat dat alleen maar een steeds groter
punt wordt. We staan misschien nog maar aan het begin.
Het antwoord is ja: daar ziet de AVG extra op toe. Ik denk
ook dat dat nodig is. Kortheidshalve verwijs ik maar even
naar het recente jaarverslag van de AIVD, waarin wordt
aangegeven dat bij cybercrime het hacken, het actief op
zoek zijn naar persoonsgegevens door kwaadwillende derden, een toenemend groot probleem is. Dat betekent
uiteraard voor de heel grote bedrijven, maar ook voor kleinere bedrijven en organisaties, dat het belangrijk is dat men
zich daarvan bewust is en dat men zelf probeert om de
beveiliging zo goed mogelijk op orde te hebben.
Voorzitter, ik ben even op zoek naar ...
De voorzitter:
De heer Koopmans komt ons helpen met een interruptie.

8 maart 2018
TK 59

59-4-22

Minister Dekker:
Hij komt mij even redden. Dat geeft mij de kans om even
...

Ik zal nog een paar dingen meer zeggen over wat dit vraagt
van bedrijven. Waar ik net naar op zoek was, ging over de
handhaving, maar daar kom ik straks op terug in het blok
over de Autoriteit.

De voorzitter:
Neem uw tijd, mijnheer Koopmans, zou ik zeggen.

Ik heb al wat gezegd over artikel 30 en over de gezondheidsgegevens van sporters en sportbeoefening. Ik denk dat dat
vrij eenvoudig te ondervangen is. Als er andere dingen
spelen, ga ik in gesprek met NOC*NSF. Maar met de toestemming denk ik dat heel veel gewoon kan.

Minister Dekker:
Neem de tijd.
De heer Koopmans (VVD):
Ik word er inderdaad op gewezen dat het vandaag Internationale Vrouwendag is. Dat is heel belangrijk. Ik zie dat wij
veel waardevolle bezoekers op de publieke tribune hebben,
inclusief vertegenwoordigers van de Autoriteit Persoonsgegevens. Ik zie ook dat de minister heel druk bezig is met de
beantwoording van alle vragen.
Minister Dekker:
Ik heb het inmiddels gevonden.
De heer Koopmans (VVD):
Daaraan zou ik een vraag willen toevoegen, nadat hij het
net erover had dat het belangrijk is dat gegevens veilig
opgeslagen worden en dat organisaties, de gegevensverwerkers, zich daarvoor inzetten. In hoeverre draagt de huidige regelgeving en de toekomstige regelgeving eraan bij
dat organisaties, gegevensverwerkers, dat zelf intern gaan
handhaven? Wat, voor zover het nog niet volledig is geregeld, kunnen wij nog toevoegen aan dit punt, zodat er duidelijke handhaving ontstaat binnen de organisaties ter
beveiliging tegen hackers?
Minister Dekker:
Er is bij dit soort regelgeving altijd een spanningsveld. In
hoeverre schrijf je organisaties precies voor wat zij georganiseerd moeten hebben om de zaken goed op orde te hebben? Ik vind dat de AVG op een aantal punten al vrij ver
gaat, bijvoorbeeld met het verplichte register en de verplichte gegevensfunctionaris. Dan is het altijd de vraag of
je ook nog precies moet voorschrijven hoe ze intern hun
compliance doen en hoe ze handhaven, als het gaat om het
omgaan met die gegevens. Ik denk dat deze wetgeving niet
zo ver gaat. Tegelijkertijd is het wel zo dat de normen verduidelijkt zijn en biedt deze wet mogelijkheden voor burgers
om bijvoorbeeld te klagen over wat een organisatie doet
met je gegevens. Ook is er de follow-up door een handhavende organisatie, zoals de Autoriteit die er vervolgens mee
aan de slag moet. Vervolgens hebben zij de tanden om
ertegen op te treden, wat met zich meebrengt dat bedrijven
zich iets meer achter de oren gaan krabben: als ik er echt
een potje van maak, of bewust dingen doe met gegevens
die niet kunnen, dan heb ik een groot probleem. Met die
combinatie van heldere normstelling met een aantal
ankerpunten wat je vraagt van grote organisaties, maar ook
met een goede toezichthoudende en handhavende followup, denk ik dat ieder groot bedrijf dat zichzelf serieus neemt,
hier echt serieus werk van gaat maken.

Tweede Kamer

Algemene verordening
gegevensbescherming

Mevrouw Van Toorenburg vroeg: wat moet het mkb allemaal regelen? Kort samengevat betekent dit allemaal dat
bedrijven en organisaties bewuster moeten omgaan met
bijvoorbeeld de gegevens van klanten. Neem een supermarktketen. Die moet een register bijhouden van de persoonsgegevens die hij verzamelt. Je moet dus in ieder geval
in kaart brengen wat je aan gegevensverwerking doet, bijvoorbeeld dat je bewakingscamera's hebt hangen of dat je
werkt met klantenkaarten, en wat daar precies achter zit.
De supermarkt moet ook registreren wat er met die gegevens gebeurt en waarom dat noodzakelijk is.
Van de AP heb ik begrepen dat zij het eerste jaar dat de
AVG van toepassing is vooral zal inzetten op verdere voorlichting en bijsturing, en niet onmiddellijk zal grijpen naar
het allerzwaarste middel dat deze wet biedt. Verder wordt
er praktische hulp verleend. In de praktijk zijn er voor het
mkb een aantal concrete wijzigingen. Neem bijvoorbeeld
het register van verwerkingsactiviteiten, het idee van privacy
by design en by default, dat je er van tevoren bij nadenkt
als je dingen ontwerpt, rond de registratie, et cetera.
Dan vroeg mevrouw Van Toorenburg: wanneer is zo'n
functionaris gegevensbescherming nou precies verplicht?
Een belangrijk uitgangspunt bij de verordening is de risicogerichte benadering. Dat betekent dat verenigingen van
vrijwilligers, die als het ware niets bijzonders doen met
persoonsgegevens, die wel een ledenbestand en dat soort
dingen hebben, maar geen gekke dingen, beduidend minder
aandacht hoeven te besteden aan deze verordening dan
bijvoorbeeld bedrijven die op heel grote schaal aan complexe gegevensverwerking doen. Een functionaris gegevensbescherming is verplicht bij een aantal dingen. Eén: bij
overheidsinstanties. Twee: bij grootschalige verwerkingen
wegens regelmatige en stelselmatige observatie van personen. En drie: bij grootschalige verwerking van bijzondere
of strafrechtelijke persoonsgegevens. Dat geeft al wel een
beetje aan dat het gaat om de wat zwaardere verwerkingen.
Of een verwerking grootschalig is, hangt met name af van
de aantallen waar betrokkene mee werkt. Voor een gemiddelde sportvereniging zal dit naar mijn oordeel niet snel
aan de orde zijn, hoewel ik natuurlijk niet volledig kan
overzien wat zich daar in de praktijk voordoet.
Voorzitter. Dan de registratie. Dat is een ander verhaal. Hoe
zit het nu met die grens van 250 werknemers in artikel 30?
Is dat werkbaar? Daarop is een eerlijk antwoord dat de
Europese regelgeving eigenlijk zegt: zolang en zodra er
sprake is van systematische gegevensverwerking, moet je
dat goed registreren, ook beneden die 250 medewerkers.
Ik denk inmiddels, misschien ook omdat we gewoon weer
een paar jaar verder zijn sinds het ontwerpen van die
Europese regelgeving, dat er relatief weinig organisaties
in Nederland zijn die kunnen beweren dat zij niet systematisch persoonsgegevens verwerken. Ik denk dus dat vrijwel

8 maart 2018
TK 59

59-4-23

iedere organisatie de facto eigenlijk verplicht is om daar
waar zij persoonsgegevens verwerkt, dat te registreren en
in kaart te brengen wat zij precies doet, waarom zij dat doet
en waarom het precies noodzakelijk is dat die gegevens
worden verwerkt. Nu zal dat voor een kleine organisatie of
voor een mkb'er, zoals de slager op de hoek, natuurlijk een
relatief beperkt iets zijn. Als je een klantenbestand hebt
omdat je in de zomer barbecuevlees moet afleveren en de
rekening moet versturen, dan kan zo'n register bij wijze van
spreken op een half A4'tje. Voor grote bedrijven is dat
anders. Die hebben met veel meer verwerkingsactiviteiten
te maken. Daar zal zo'n register veel substantiëler zijn.
De heer Van Nispen (SP):
Precies om deze reden had ik de vraag gesteld of het niet
mogelijk is om artikel 30, lid 5 zo te lezen dat een bedrijf
niet registerplichtig is als het minder dan 250 werknemers
heeft maar geen risicovolle verwerkingen doet. Want was
is eigenlijk het nut van een register van de slager om de
hoek als het gaat om 30 mensen in zijn buurt die vlees
bestellen voor de barbecue in de zomer of om het bijhouden
van een salarisadministratie voor zijn vijf personeelsleden?
Minister Dekker:
Ik denk dat dat een terechte vraag is. Ik denk dat het ook
voor die slager om de hoek op zich goed is om zich te realiseren dat dit nuttig is als hij werkt met een bestand van
gegevens en rekeningnummers; ik weet niet precies wat
daar dan in zit. Bij het aanleggen van zo'n register denk je,
als je het even op papier zet: potverdorie, ja, ik doe wel het
een en ander met die gegevensverwerking; het is goed dat
ik daarover nadenk, dat ik dat ook netjes doe en dat ik dat
op mijn eigen computer bijvoorbeeld goed heb beveiligd.
Dat zou ik zelf prettig vinden en ook niet disproportioneel.
Het tweede punt is eigenlijk veel meer een wetstechnische
aangelegenheid: mogen wij dit artikel van de AVG niet op
een bepaalde manier lezen? Dat is ingewikkeld, want als ik
daar nu te veel op inga, gaan wij hier in het nationale parlement Europese wet- en regelgeving interpreteren. Als 28
lidstaten dat doen, komt er helemaal niets terecht van die
uniformering. Het gezag om een interpretatie te geven aan
wat er precies mee wordt bedoeld, is uiteindelijk dus belegd
bij onze eigen autoriteit, die over definitiekwesties en over
het interpreteren van het een en ander uiteraard afspraken
maakt met de collega's elders in Europa.
Misschien mag ik nog één nabrander geven. Dit behoort
veel meer bij de evaluatie, maar ik kan mij heel goed voorstellen dat we, als ook in andere Europese landen bij dit
soort dingen toch gevraagd wordt of dit opweegt tegen
andere belangen, ook in Europa eens zo'n discussie moeten
aangaan. Dit is iets wat we niet als nationaal parlement of
nationale wetgever kunnen. Daarvoor moeten we terug
naar Brussel.
De heer Van der Staaij stelde een vraag over de positie van
kerken: hebben die een aparte titel in deze wet? Dat is niet
het geval. Kerken hebben zich, zoals iedere andere organisatie in Nederland, aan de wet en dus ook aan de AVG te
houden. Dat betekent dat zij ook op het punt van de verwerking van persoonsgegevens een bepaalde verantwoordelijkheid hebben, bijvoorbeeld een meldplicht bij datalekken.
Dit gezegd hebbende is het wel zo dat de AVG en de UAVG
een aantal regels hebben opgenomen die specifiek voor

Tweede Kamer

Algemene verordening
gegevensbescherming

kerkgenootschappen gelden. Belangrijk in dit verband is
dat kerkgenootschappen in het kader van hun gerechtvaardigde activiteiten en met passende waarborgen uitgezonderd zijn van het verbod op verwerking van bijzondere
persoonsgegevens. De vrijheid van kerkgenootschappen
om hun kerkelijke organisatie naar eigen inzicht in te richten,
zoals voortvloeit uit artikel 2 van Boek 2 van het Burgerlijk
Wetboek, wordt door de AVG niet beperkt. Ook goede
pastorale zorg hoeft niet te worden gehinderd door de AVG
of de UAVG.
Met betrekking tot de consequenties voor minderjarigen
zei de heer Van Nispen dat soms specifiek iets wordt gezegd
over kinderen en in andere gevallen niet. Mijn reactie
daarop is: als dat niet expliciet wordt gemeld, betekent dat
niet dat die bepalingen niet op hen van toepassing zijn.
Artikel 17 betreft bijvoorbeeld het recht om vergeten te
worden. Dat is niet gespecificeerd op minderjarigen, maar
is vanzelfsprekend wel op hen van toepassing. Dus waar
extra bescherming voor kinderen nodig wordt geacht, is
dit uitdrukkelijk geregeld in de desbetreffende bepaling.
Dat zijn de specifieke bepalingen. De generieke bepalingen
gelden voor iedereen, dus ook voor kinderen.
Mevrouw Van Toorenburg vroeg naar de gezondheidsgegevens. Het regiemodel mag niet als een soort schild worden gehanteerd om bijvoorbeeld kwaliteitscontroles te
omzeilen. Daar ben ik het van harte mee eens. Daarom
wordt waar nodig voorzien in een wettelijke grondslag voor
de Inspectie Gezondheidszorg en Jeugd in oprichting voor
inzage in gezondheidsgegevens. Ik verwijs naar het bij de
Tweede Kamer aanhangige wetsvoorstel in verband met
de versterking van het handhavingsinstrumentarium van
de Inspectie Gezondheidszorg en Jeugd.
Mevrouw Buitenweg vroeg nog naar de geautomatiseerde
besluitvorming, waar een specifiek regime geldt voor kinderen. Zij vroeg of wij denken dat dat afdoende is. Mijn
eerste indruk is wel. Ik heb er vertrouwen in dat wat er in
die overweging staat, ik meen dat het 71 is, dat kinderen
geen object mogen zijn van geautomatiseerde besluitvorming, een voldoende basis is die verzekert dat kinderen
een bijzondere bescherming krijgen. Hoe dat in de praktijk
uitwerkt, zal verschillen van situatie tot situatie. Om die
verschillen te overbruggen, vermoed ik dat de toezichthouders met elkaar in conclaaf gaan om te kijken hoe dat in
specifieke situaties uitwerkt. Laat ik een voorbeeld geven:
online leren of spelen door kinderen vanuit het onderwijs,
waar steeds meer wordt gewerkt met data die moeten
worden geïnterpreteerd en verwerkt et cetera. Daaruit
mogen geen profielen worden afgeleid en het mag niet
volledig geautomatiseerd worden, dus daar moet altijd
menselijke interventie bij betrokken zijn.
Voorzitter, dan wilde ik graag naar de Autoriteit Persoonsgegeven en de manier waarop er zal worden gehandhaafd.
Ik kan me heel goed voorstellen dat er heel veel bedrijven
en organisaties in Nederland zijn die zeggen: we hebben
een wet, dit is ongeveer wat er van ons wordt verwacht,
maar wat hangt me nou boven het hoofd?
Mevrouw Van Toorenburg (CDA):
Mag ik dan een vraag stellen die bijna een bruggetje is?
Neem eens een leuke Rosmalense voetbalvereniging, de
grootste van Nederland. Als die vereniging gegevens ver-

8 maart 2018
TK 59

59-4-24

zamelt om te kijken of die f'jes niet superb naar jong-Ajax
kunnen, kunnen zij dan terecht bij de Autoriteit Persoonsgegevens om te vragen: moeten wij een privacy assessment
maken, moeten wij zo'n functionaris hebben? Dan zijn zij
namelijk echt geholpen.
Minister Dekker:
Bij de AP wordt de telefoon opgenomen. Ook als het gaat
om dit soort specifieke vragen wil ik ze echt naar de AP
verwijzen, want die kunnen daarbij helpen.
Mevrouw Van Toorenburg (CDA):
Dus ik hoor u zeggen dat het wel de bedoeling is dat ze zo
laagdrempelig zijn dat er gespard kan worden. Mensen
willen geen fouten maken, ze willen gewoon weten waar
ze aan moeten voldoen.
Minister Dekker:
Ja. Dat was inderdaad een perfect bruggetje naar het volgende. Ik proef in de gesprekken die ik heb gevoerd in de
aanloop naar dit debat dat er behoefte is aan geruststelling
ten aanzien van de wijze waarop de Autoriteit straks de
handhavende taken zal oppakken. De combinatie van de
aan de ene kant nieuwe en soms complexe regelgeving
met deels open normen, en anderzijds de bevoegdheid van
de toezichthouder om ook werkelijk heel hoge boetes op
te leggen, leidt tot onrust en eerlijk gezegd begrijp ik dat
best.
Omgekeerd begrijpt u dat ik geen zeggenschap heb over
de taakuitoefening van een onafhankelijk toezichthouder
als de AP. Een geruststelling in de zin van harde toezeggingen kan ik u dus niet geven. Natuurlijk ligt het in de rede
dat de Autoriteit prudent omgaat met de hen ter beschikking
staande bevoegdheden. Daarbij moet altijd worden bedacht
dat ook op grond van de Algemene wet bestuursrecht de
AP vanzelfsprekend gebonden is aan de zorgvuldigheidseisen die gelden voor alle bestuursorganen bij het opleggen
van een sanctie. Om een voorbeeld te geven: het rauwelijks
opleggen van een bestuurlijke boete is op grond van het
lex certa-beginsel alleen mogelijk als ook voor de overtreder
glashelder was of kon zijn wat van hem werd verwacht. Dat
zal met open normen ook wel een kwestie van tijd en ontwikkeling zijn. Daarenboven heb ik dit punt besproken met
de voorzitter van de Autoriteit Persoonsgegevens, de heer
Wolfsen. Hij verzekerde mij dat de autoriteit, zeker in de
eerste jaren dat de AVG van toepassing is, vooral zal inzetten op voorlichting en bijsturing en natuurlijk echt niet
onmiddellijk op het beboeten van korfbalverenigingen of
plaatselijke middenstanders die bereidwillig zijn om het
beste te doen en zich netjes aan de regels te houden. Het
is natuurlijk een ander verhaal als er sprake is van opzettelijke of ernstige misstanden, maar we moeten ons ook realiseren dat we aan het begin staan van een proces waarbij
heel veel organisaties en bedrijven bezig zijn om het goed
te regelen.
Met het oog op het bijsturen hebben we in de UAVG ook
een typisch Nederlands instrument toegevoegd aan het
arsenaal van sancties die een toezichthoudende autoriteit
kan opleggen op grond van deze wet. Dat is misschien nog
aardig om aan uw Kamer mee te geven. Dat is namelijk de
last onder dwangsom. Een overtreder kan daarmee immers

Tweede Kamer

Algemene verordening
gegevensbescherming

een daadwerkelijke sanctie, in dit geval het verbeuren van
de dwangsom, voorkomen door binnen de gestelde termijn
de onrechtmatigheid op te heffen. Ik heb dat ook besproken
met de autoriteit. Dan heb je dus ook een aantal middelen
die niet gericht zijn op: wij zijn een strenge politieagent en
als we iets zien wat niet goed is, gaan we onmiddellijk hard
beboeten. Je hebt dan ook een aantal instrumenten in je
repertoire waarvan je kan zeggen: nee, wij zijn er vooral op
gericht om te komen tot compliance, tot herstel en tot verbetering van de praktijken bij bedrijven en organisaties. Ik
heb daar vertrouwen in.
Ik denk dat dat ook een antwoord is op de vragen van de
heren Koopmans en Verhoeven en mevrouw Van Toorenburg over gedienstige of begeleidende handhaving. Misschien mag ik dat zo vertalen dat er een combinatie is van
advies en handhaving en dat het voor een deel ook gericht
is op herstel. Ook de autoriteit is zich er natuurlijk maar al
te goed van bewust dat zij direct een probleem heeft met
haar eigen gezag als zij de eerste keer gaat handhaven op
een plek waarover iedereen zijn wenkbrauwen fronst. We
weten het natuurlijk niet want het is aan de autoriteit zelf,
maar ik ga er echt van uit dat de eerste keren dat er wordt
beboet zeer waarschijnlijk gevallen zijn waarvan we allemaal
vinden dat het evident is dat daar iets fout is gegaan. Dat
zal een bedrijf of organisatie zijn die in ieder geval groot
genoeg was om zich te kunnen realiseren dat er iets aan
de hand was.
Mevrouw Van Toorenburg (CDA):
Het klinkt misschien wat onaardig, maar wij zijn ons helemaal de blubber geschrokken van de manier waarop de
Autoriteit Persoonsgegevens is omgegaan met de uitwisseling van gegevens in de gemeente Tilburg ten aanzien van
ondermijning. Dan lees je op een bepaald moment een 80
bladzijden dik rapport en vraag je je af wie we eigenlijk aan
het beschermen zijn, de criminelen of de gemiddelde
Nederlander die niet wil dat zijn kinderen worden opgeblazen. Dus bij het vertrouwen dat de minister uitspreekt, denk
ik: we moeten wel opletten wat we doen, want wie
beschermen we? Ik zeg dat hier heel hard, in aanwezigheid
van de autoriteit. Die notie wil ik er wel naast leggen.
Minister Dekker:
Dat is volgens mij vooral een opmerking die bedoeld is
richting de publieke tribune. Ik ken dat rapport ook en ik ga
het nu een beetje opnemen voor de AP. U weet dat ik hier
samen met mijn collega Grapperhaus ook ongelofelijk hard
aan trek. De bestrijding van bepaalde vormen van criminaliteit, bijvoorbeeld ondermijning, vraagt ook dat wij als
wetgever de uitwisseling van informatie beter wettelijk
regelen. Dat is de pijnlijke plek waar de Autoriteit Persoonsgegevens de vinger op legde. De uitwisseling was misschien
wel wenselijk in het kader van de bestrijding, maar we
hadden het niet goed wettelijk geregeld. Dan mag u mij of
mijn collega erop aanspreken dat dat beter moet. In feite
kan dat ook met de UAVG, want een van de redenen om
wel te mogen uitwisselen is een wettelijke grondslag.
Voorzitter. Ik heb wat gezegd over het handhavingsregime.
Ik wil ook graag wat zeggen over het budget van de autoriteit, want daar zijn wat opmerkingen over gemaakt. Is dat
nou voldoende? Er ligt een rapport dat aangeeft dat er
verschillende varianten zijn. Er is een minimumvariant. Het

8 maart 2018
TK 59

59-4-25

bedrag dat de AP vorig jaar heeft gekregen, zit daar zelfs
nog een beetje onder. Ik zie dat ook. Tegelijkertijd zou mijn
insteek zijn: laten we eerst maar eens even een begin gaan
maken, ervoor zorgen dat we er überhaupt in slagen om
dat geld op een goede manier uit te geven aan goede
mensen die de capaciteit hebben om het werk van de
Autoriteit Persoonsgegevens goed te doen. Als het dan
knelt, hebben we uiteraard gewoon weer een gesprek. Dan
weet de heer Wolfsen mij te vinden.

lang, ook voor het vertrouwen dat mensen moeten hebben
dat er goed met hun persoonsgegevens wordt omgegaan
en dat we die regels niet voor niets afspreken zoals we ze
hebben afgesproken. De onzekerheden en onduidelijkheden
die daarover zijn, moeten zo veel mogelijk worden weggenomen. Dit is een belangrijke taakverzwaring voor onze
privacywaakhond, dus kan de minister toezeggen dat hij
de Kamer voor de behandeling van de Voorjaarsnota
informeert over de signalen uit de praktijk?

De heer Van Nispen (SP):
De minister vat zelf al samen hoe het zat met de scenario's.
Zelfs het laagste scenario wordt niet gehaald, terwijl het
middelste scenario, dat echt een hoop miljoen extra is, het
waarschijnlijkste scenario is. Zelfs het hoogste scenario is
niet uit te sluiten. Ik vind het jammer dat dat onderzoek niet
wordt nageleefd. Ofwel zeg je dat het onderzoek eigenlijk
niet klopt — dat hoor ik de minister niet zeggen — of je zegt:
het geld is er nu niet om de Autoriteit Persoonsgegevens
het budget te geven dat eigenlijk hoort bij de onderzochte
scenario's. Dan is nu de vraag: wat is het tempo waarop de
minister dit in de gaten gaat houden? Wat als het stormloopt
bij de Autoriteit Persoonsgegevens, vanaf de inwerkingtreding van de AVG, vanaf 25 mei 2018? Dan komen er misschien een heleboel verzoeken om voorlichting van bedrijven die vragen wat ze allemaal moeten doen en van burgers
die vragen wat er precies allemaal met hun gegevens mag.
Misschien komen er dan signalen om handhavend op te
treden. Hoe snel kan de minister de signalen die dan
mogelijk komen verwerken en aan de Kamer rapporteren?

Minister Dekker:
Dat is echt te vroeg. U hebt het over een paar weken na de
inwerkingtreding op 25 mei. Laten we eerst eens kijken hoe
dat precies gaat vliegen. Ik geef een voorbeeld. Die 7 miljoen zit inderdaad wat onder dat minimumscenario. Tegelijkertijd is het wel een verdubbeling van het budget van
de Autoriteit Persoonsgegevens. Die organisatie is heel
hard bezig om heel rapido enorm te groeien. Ik vind dat dat
op een manier en in een tempo moet dat het behapbaar is.
Ik heb de afspraak met de AP dat we de realisatie en hun
feitelijke uitgaven heel erg netjes monitoren. Dat betekent
dat ik, als er echt knelpunten zijn, daarmee terugkom naar
de Kamer. Maar een paar weken na inwerkingtreding van
dit wetsvoorstel is dan echt te vroeg.

Minister Dekker:
Ik gaf net al aan dat we dit goed gaan monitoren, niet alleen
de effecten van de wet naar de buitenwereld — wat betekent
dit voor organisaties? — maar wat mij betreft ook wat het
betekent voor de Autoriteit Persoonsgegevens. Dan heb je
het over een halfjaar. Dan gaan we gewoon weer eens even
de peilstok erin steken. Vooralsnog heb ik geen concrete
aanwijzingen dat de autoriteit niet uit de voeten zou kunnen
met de budgetten die ze op dit moment heeft. Sterker nog,
de autoriteit is heel hard bezig met reorganiseren, om de
goede mensen te krijgen, om die 7 miljoen die er vorig jaar
extra bij is gekomen op een goede manier uit te geven. U
zei: regel het direct bij de Voorjaarsnota. Ik wil om te
beginnen niet vooruitlopen op de hele besluitvormingsprocedure rond de komende begroting. Daarover wordt u
geïnformeerd op Prinsjesdag. Op dit moment denk ik dat
de AP er goed mee uit de voeten kan.
De heer Van Nispen (SP):
Nou, dan denken we daar anders over. Ik heb ook aanwijzingen dat de Autoriteit Persoonsgegevens met het budget
dat er nu is ook voor dit jaar niet uit de voeten kan. Die
verordening is nu nog niet in werking getreden, maar dat
gebeurt wel op 25 mei 2018. Mag ik de minister vragen om
enkele weken na inwerkingtreding van die verordening
toch, in overleg met de Autoriteit Persoonsgegevens, aan
de Kamer te rapporteren, voorafgaand aan de behandeling
van de Voorjaarsnota? Wat zou er nou op tegen zijn? Als
er dan geen extra geld beschikbaar kan komen, dan hebben
we daar een discussie over. Maar dan kunnen we in ieder
geval kijken wat de eerste signalen zijn vanaf de inwerkingtreding van die verordening. Ik vind een halfjaar echt te

Tweede Kamer

Algemene verordening
gegevensbescherming

Mevrouw Buitenweg (GroenLinks):
De minister erkent dat het budget onder het minimum is.
Ik zou dus eerst willen weten of hij vindt dat er te weinig
geld is als je objectief kijkt naar het rapport dat daarover
verschenen is. Ik snap heel goed dat de minister zegt dat
we de boel eerst even moeten aankijken. Maar tegelijkertijd
ben ik er wel heel bang voor dat het vertrouwen in de verordening afneemt als mensen niet makkelijk toegang krijgen
tot de autoriteit, bijvoorbeeld omdat ze heel lang moeten
wachten, er weinig gebeurt of er een weinig hulpvaardige
afhandeling en handhaving is. Het vereist juist veel tijd om
dat goed te doen. Als er nu al te weinig geld is — ik kijk
even of de minister die kwalificatie steunt — bestaat het
gevaar dat je een slecht begin maakt, dat we bijna niet meer
kunnen herstellen omdat het vertrouwen van burgers is
afgenomen.
Minister Dekker:
Ik heb niet de indruk dat er te weinig geld is. Ik refereerde
aan een aantal onderzoekscenario's. Een organisatiebureau
heeft geschetst wat verschillende varianten op termijn
budgettair precies betekenen. Vorig jaar is het budget verdubbeld. Het is voor een organisatie, en dus ook voor de
AP, een enorme slag om jezelf twee keer zo groot te maken
als je altijd bent geweest. Je moet er ook voor zorgen dat
zo'n organisatie een beetje goed blijft draaien. Ik heb de
indruk dat de AP met het geld dat zij nu krijgt, goed is uitgerust om haar taken op dit moment goed te vervullen. We
weten natuurlijk allemaal niet hoe dat er over één, twee of
drie jaar precies uitziet. Daarom hebben we de afspraak
gemaakt om het goed te monitoren. Dat beeld kun je niet
twee weken na invoering van de wet al helder hebben.
Mevrouw Buitenweg (GroenLinks):
Nu lopen er wel een aantal argumenten door elkaar heen.
Het eerste is de vraag of de AP in staat is om een verdubbeling of vergroting van het budget goed te behappen. Ik denk

8 maart 2018
TK 59

59-4-26

dat dit iets is voor de uitvoering. Ik heb de autoriteit daar
niet over horen klagen. Volgens mij zijn er ook geen aanwijzingen om te denken dat de organisatie niet goed functioneert. Ik denk dus dat dat niet echt een valide argument is.
Dan is er nog het punt dat het onder het minimum zit dat
door het onderzoeksbureau is aangegeven. Dan kan het zo
zijn dat de minister het onderzoeksbureau of de bevindingen
daarvan niet accepteert, maar als hij die bevindingen wel
accepteert, is de conclusie dat er toch te weinig geld is. Ik
maak mij namens GroenLinks wel zorgen over een goede
start. We kunnen natuurlijk altijd in het najaar van alles
gaan bekijken, maar ik herhaal dat het gevaar bestaat dat
juist een goed begin met een hulpvaardige behandeling in
gevaar komt als de autoriteit onvoldoende middelen heeft.
Natuurlijk is er sprake van een vergroting van het eerdere
budget, maar de taak waar we de autoriteit nu voor stellen,
is ook enorm veel groter dan die was. Daar hoort dus ook
een flinke versteviging bij.
Minister Dekker:
Mevrouw Buitenweg heeft mij niet horen zeggen dat er in
de toekomst niets verandert aan het budget voor de Autoriteit Persoonsgegevens. Ik heb het steeds gehad over het
nu. Ik heb ook aangegeven wat het van een organisatie
vergt als je in korte tijd enorm moet groeien. Er is niet altijd
sprake van een bottleneck in de vorm van geld om die groei
door te maken. Zeker in de huidige arbeidsmarkt is het ook
de vraag waar je goede en kundige mensen vandaan haalt
en hoeveel tijd het kost om die goed op te leiden. Ik zie dat
daar enorm hard aan wordt gewerkt. Er is een afspraak met
de AP om eerst eens aan te zien hoe de verdubbeling van
de organisatie uitpakt en wat ze daarmee kan doen. Als het
op termijn toch gaat knellen, hebben we opnieuw een
gesprek.
Misschien mag ik van daaruit direct doorpakken naar de
vraag van de heer Verhoeven over de eigen begroting van
de autoriteit. Dat is een discussie die wij zeer recent nog
met de Autoriteit Persoonsgegevens hebben gehad. Ik
verwijs daarvoor naar de nota van wijziging. Ik geloof dat
de heer Van Nispen dat ook deed. Mijn excuses dat die op
het allerlaatste moment kwam. Dat had met interdepartementale afstemming te maken. Die nota van wijziging verandert wat in de positie van de autoriteit. Dat zit 'm in de
zbo-status van de AP. Uit de AVG volgt dat de AP moet
beschikken over een afzonderlijke en publieke begroting.
Dat hebben we nu ook expliciet in artikel 11 van de UAVG
vastgelegd.
De voorzitter:
Mag ik aan de minister vragen hoeveel tijd hij nog denkt
nodig te hebben in deze termijn? Ik vraag dit even met het
oog op de klok, want we hebben nog een lunchpauze te
gaan, dat hoort zo, en ook nog een regeling van werkzaamheden en een VAO met stemmingen. De mogelijkheid
bestaat dus dat we hiermee nog even zoet zijn. In dat geval
beslis ik om de tweede termijn bijvoorbeeld volgende week
te doen.
Minister Dekker:
Ik kan er tempo op zetten, maar ik heb nog wel een aantal
dingen liggen.

Tweede Kamer

Algemene verordening
gegevensbescherming

De voorzitter:
Ja en het is ook wat ingewikkeld, dus dan zou ik ernaar
willen streven dat we nog een halfuur bezig zijn, tot 14.10
uur of 14.15 uur, en dat we dit debat dan stoppen. Dan gaan
we volgende week ergens verder. We kunnen dit ook niet
afraffelen, want daar is dit te technisch en te ingewikkeld
voor. Dat kunnen we ook niet doen. Zullen we het dan zo
doen? Dan gaan we nog …
Minister Dekker:
Misschien mag ik heel even kijken naar hoe we dan in de
tijd met de Eerste Kamer zitten. Er wordt nee geschud aan
de overkant.
De voorzitter:
Ik hoor de datum van 25 mei, dus dat zou suggereren dat
u nog een beetje de tijd heeft.
Minister Dekker:
Vindt u het goed om straks heel even te schorsen, zodat
we dit kunnen bespreken?
De voorzitter:
Misschien moeten we dat nu doen. Ik schors even en praat
met de medewerkers van de minister.
De vergadering wordt enkele ogenblikken geschorst.
De voorzitter:
We continueren en proberen het bijvoorbeeld binnen een
halfuur af te ronden, inclusief de tweede termijn. De
minister continueert.

Minister Dekker:
Voorzitter. De vraag over de combinatie van toezicht en
advies staat de AP helder op het netvlies. Er is juridisch
niets wat dat belet, maar intern worden er natuurlijk wel
discussies gevoerd om te kijken hoe dat goed kan worden
geregeld.
Ik ga er heel kort doorheen. Waarom deze verordening niet
ook op de BES? Bij heel veel wet- en regelgeving maken
wij de afweging wat de eilanden precies aankunnen. Hierbij
hebben wij de afweging gemaakt om het nog even niet te
doen.
De meldplicht datalekken voor niet-financiële ondernemingen zit nu ook in de Wet bescherming persoonsgegevens.
De reden daarvan is dat er wel gemeld moet worden aan
de financiële toezichthouder, maar dat er een risico is op
een eventuele bankrun en voor het vertrouwen in het
bankwezen. Dit soort meldingen kan elders dus wat ongewenste effecten hebben.
E-Court. De AVG geeft het een en ander aan als het gaat
om voldoende transparantie van algoritmes. Dat betekent
niet dat ze volledig vrij worden gegeven, maar dat ze wel
aan een aantal dingen moeten voldoen. Ik denk bijvoorbeeld
aan de onderliggende logica van algoritmen. Verder vloeit

8 maart 2018
TK 59

59-4-27

voort uit het verbod op geautomatiseerde individuele
besluitvorming dat in artikel 22 is vastgelegd, dat een besluit
van zo'n e-Court steeds ook menselijke tussenkomst vergt.
Dat moet dan op een manier die ook echt betekenisvol is.
Het is niet alleen maar een stempeltje zetten, maar meer
dan dat. Hier kom ik straks op terug bij de advisering over
de amendementen. Ik kijk even naar mevrouw Buitenweg.
U had geloof ik ook een amendement ingediend over de
inlichtingen- en veiligheidsdiensten?
Mevrouw Buitenweg (GroenLinks):
Dat raakt eraan.
Minister Dekker:
Dat raakt eraan. Misschien mag ik het daarin meepakken.
Ik ga adviseren over de amendementen en de vragen die
daaraan raken, pak ik daar dan direct in mee.
Het amendement op stuk nr. 10 van mevrouw Buitenweg
dat ertoe strekt om de leden te benoemen op voordracht
van de Tweede Kamer, zou ik willen ontraden. De onafhankelijkheid van de autoriteit wordt niet bepaald door de wijze
van benoeming maar is in feite vastgelegd in de AVG zelf.
Daar zitten een aantal garanties in, zoals onafhankelijkheid
in uitoefening van taken en bevoegdheden. De AP is een
zelfstandig bestuursorgaan met een onafhankelijke positie
die is geborgd in het Europese recht. De vergelijking met
de Algemene Rekenkamer gaat ook niet helemaal op. De
reden waarom de leden van de Algemene Rekenkamer
worden benoemd op voordracht van de Tweede Kamer is
gelegen in het feit dat de Algemene Rekenkamer zijn taken
vooral ten behoeve van het parlement vervult. Daarom
ontraad ik dit amendement.
Dan kom ik op het amendement op stuk nr. 11 over de
journalistieke doeleinden. Ik vind dat wel een interessante
discussie. De heer Van Nispen heeft op dat punt gevraagd
of het met deze AVG strikter gaat worden voor de journalistiek. In mijn ogen is dat niet het geval. De AVG schrijft voor
dat er altijd een balans moet worden gevonden tussen het
recht op vrije meningsmening, het feit dat journalisten hun
werk goed moeten kunnen doen en het recht op privacy en
bescherming van persoonsgegevens. Bij zoiets als de
Panama Papers is er een evident algemeen belang waarom
journalisten dat soort dingen kenbaar moeten kunnen
maken. Dit amendement gaat weer een stap veder. Dat wil
eigenlijk de AVG helemaal niet toepassen op journalistiek
werk. Dat vind ik risicovol, want dat betekent dat journalisten — dat wordt in Europese wet- en regelgeving heel breed
opgevat, want daar valt heel veel verschillende journalistiek
onder — helemaal niet meer zijn gehouden aan enige vorm
van bescherming van persoonsgegevens. Dan vind ik dat
eigenlijk doorslaan. Je zou dan bij wijze van spreken haast
kunnen zeggen dat het daarmee op gespannen voet staat
met de AVG waarin juist door de Europese wetgever is
meegegeven dat er altijd sprake moet zijn van een belangenafweging.
Mevrouw Buitenweg (GroenLinks):
Het spijt mij, voorzitter, maar ik moet hier toch een vraag
over stellen. In de ogen van de minister en naar ik weet ook
in die van een aantal anderen, is het zo dat wie een journalist is steeds strikter wordt opgevat, strikter dan het Europees Hof voor de Rechten van de Mens doet, bijvoorbeeld

Tweede Kamer

Algemene verordening
gegevensbescherming

dat iemand alleen een journalist is als er een repliek kan
worden gegeven. Dat is een van de manieren waarop de
Nederlandse regering dat soms interpreteert. Hier heeft de
Europese wetgever ruimte gelaten en Nederland pakt niet
alle ruimte. De regering beargumenteert echter niet waarom
ze minder ruimte geeft aan journalisten dan de Europese
verordening toelaat. Ik zie alleen dat het Europees Hof voor
de Rechten van de Mens een ruimere definitie hanteert dan
de minister. Vandaar dat ik graag mijn amendement handhaaf. Als de minister het ontraadt, wil ik toch echt graag
een argumentatie van hem horen waarom hij vindt dat de
ruimte die door de verordening gegeven wordt, te groot is.
Minister Dekker:
Ik vind de ruimte die gegeven wordt als dit amendement
zou worden aangenomen, te groot. Dat zegt namelijk dat
voor journalistieke doeleinden een hele trits aan hoofdstukken niet van toepassing is. Daarmee stel je eigenlijk de hele
AVG buiten werking voor journalistieke doeleinden. Dat
zou ik onverstandig vinden. Misschien mag ik mevrouw
Buitenweg tegemoetkomen. Zij zegt dat er meer discretionaire ruimte voor lidstaten is dan waar Nederland met deze
UAVG gebruik van maakt, zoals er discretionaire ruimte is
rond bijvoorbeeld leeftijd en een aantal andere zaken
waarvan ik heb gezegd dat ik er nog wel een keer naar wil
kijken. Dan wil ik dat heel graag meenemen in de brief die
ik u na de zomer ga sturen over wat we meer of anders
kunnen doen als het gaat om de beleidsruimte die we nog
hebben binnen de Europese wet- en regelgeving, aangezien
ik dit gewoon echt te ver vind gaan. Ik neem de vraag en
het thema serieus. Ik denk dat het goed is geregeld, maar
ik wil er best nog een keer naar kijken.
Mevrouw Buitenweg (GroenLinks):
Ik heb uw strategie in ieder geval gehoord. Ik handhaaf toch
mijn amendement. Ik wil er wel op wijzen dat het niet zo is
dat de AVG helemaal niet van toepassing zal zijn op journalisten. Wat mijn amendement doet, is de ruimte volledig
benutten die de AVG geeft. Een flink aantal zaken zal wel
degelijk ook van toepassing zijn op journalisten. Bijvoorbeeld de adressenbestanden van leden van kranten zullen
nog steeds gewoon onder de AVG vallen.
Minister Dekker:
Ik denk dat onze interpretaties van het amendement nu wat
verschillen, dus ik houd mij bij het advies. Met de toezegging, ongeacht hoe de stemming verloopt, ga ik aan de
slag.
Dan het amendement van mevrouw Buitenweg, dat gaat
over aanbieders van telecommunicatiediensten en dat de
mogelijkheid biedt om informatie te verschaffen over de
omvang en aard van de hun opgelegde medewerkings- en
informatieplichten. Ik ontraad dit amendement. De verwerking van persoonsgegevens in het kader van de nationale
veiligheid is een uitzondering van de AVG en dus ook van
de UAVG. Het wettelijke kader voor dergelijke verwerkingen
wordt gevormd door de Wet op de inlichtingen- en veiligheidsdiensten, de Wiv. Eventuele uitzonderingen horen dan
ook niet thuis in de UAVG.
Ook inhoudelijk heb ik grote bezwaren tegen dit amendement. Een overzicht per aanbieder zegt namelijk iets over

8 maart 2018
TK 59

59-4-28

het aantal en de soorten taps waarvoor een aanbieder verzoeken ontvangt of waaraan hij heeft meegewerkt, het
aantal verzoeken om NAW-gegevens et cetera. Als je dat
bijvoorbeeld nooit hebt gehad, dan is dat informatie die in
ieder geval de inlichtingendiensten liever niet kenbaar
maken en die in sommige gevallen zelfs staatsgeheim is.
Ik kan kort zijn over het amendement op stuk nr. 13, dat
gaat over de leeftijden. Ik zou dat op dit moment ontraden,
maar u heeft de toezegging op zak dat ik daar na de zomer
in de brief op terugkom.
Het amendement van de heer Van Dam — ik kijk ook met
een schuin oog naar mevrouw Van Toorenburg, want ze
zijn van dezelfde partij — gaat over het dwingend voorschrijven van drie leden bij de Autoriteit. Ik heb de indruk dat die
de afgelopen tijd op zich goed heeft gefunctioneerd met
twee leden. Ik zie dat er heel veel op de AP afkomt. U heeft
een aantal opmerkingen gemaakt: kan je de dingen niet
scheiden? De mogelijkheden daartoe nemen natuurlijk toe
als je met drie leden zit, dus ik kan die redenering goed
volgen en wil het oordeel aan de Kamer laten.
Datzelfde geldt voor het amendement dat de heer Van der
Staaij heeft ingediend op stuk nr. 15, dat gaat over de specifieke behoeften van kleine ondernemingen. De overwegingen bij de AVG bevatten een aansporing om bij de toepassing van de AVG rekening te houden met specifieke
behoeften van kleine ondernemingen. Dit noopt niet tot
implementatie in het nationale recht. De AP zal als
bestuursorgaan op grond van de Awb hoe dan ook alle
relevante belangen moeten afwegen. Ik heb echter geen
overwegende bezwaren waarom ik negatief zou adviseren
en kan het oordeel aan de Kamer laten.
Tot slot het amendement op stuk nr. 16, dat regelt dat de
uitzondering voor het melden van datalekken aan betrokkenen voor financiële ondernemingen komt te vervallen. Met
de antwoorden die ik zojuist in eerste termijn daarop heb
gegeven, zou ik die willen ontraden.
Dan kijk ik even naar de voorzitter of naar de griffier of ik
dan alle amendementen heb gehad. Dan ben ik daarmee
ook tot een afronding van de eerste termijn gekomen.

Voor de rest ben ik heel blij dat de minister aangeeft wat
het belang is van de verordening en dat die ook heel breed,
voor eigenlijk alle organisaties van betekenis is, waarbij je
natuurlijk hoopt dat het voor heel veel organisaties geen
onnodige administratieve rompslomp meebrengt. Het is
van belang omdat er ook een soort cultuurverandering moet
komen, dat je niet zomaar allerlei data kan gaan verwerken
omdat we dat "nu eenmaal doen", maar dat er echt nagedacht wordt waarom welke data verzameld wordt en wat
je daarmee kan doen.
Voorzitter. Ik heb één motie. Die ziet toe op een onderwerp
dat de minister ook nog niet had beantwoord. Dat gaat over
de soft law en de democratische controle daarop.

Motie
De Kamer,
gehoord de beraadslaging,
overwegende dat het Europees Comité voor Gegevensbescherming toeziet op de juiste toepassing van de Algemene
verordening gegevensbescherming en kan voorzien in
richtsnoeren, aanbevelingen en voorschriften;
overwegende dat de besluiten van het comité algemeen
verbindende gevolgen kunnen hebben en dat met het oog
daarop democratische legitimering gewenst is;
verzoekt de regering om in Europees verband het voortouw
te nemen om te bewerkstelligen dat het Europees Parlement
de werking van het coherentiemechanisme democratisch
legitimeert,
en gaat over tot de orde van de dag.
De voorzitter:
Deze motie is voorgesteld door het lid Buitenweg. Naar mij
blijkt, wordt de indiening ervan voldoende ondersteund.
Zij krijgt nr. 17 (34851).
Mevrouw Buitenweg (GroenLinks):
Dat was het. Dank u wel.

De voorzitter:
Heel goed. Dank u wel. Dank ook voor het tempo. Dan kijk
ik even of er behoefte bestaat aan een tweede termijn. Dan
is het woord aan mevrouw Buitenweg.

Mevrouw Buitenweg (GroenLinks):
Dank u wel, mijnheer de voorzitter. Het is eigenlijk wel heel
leuk, zo'n complex onderwerp, moet ik eerlijk zeggen. Ik
dank de minister voor een heel uitgebreide beantwoording.
Ik heb twee vragen die nog niet beantwoord zijn. Een gaat
over de zeggenschap van het Europees Hof van Justitie en
het bereik van het EU-grondrechtenhandvest buiten die
terreinen die binnen de macht van de Europese Unie liggen.
Dat vind ik gewoon constitutioneel interessant. En ook op
de vraag waarom geslacht niet benoemd is tot bijzonder
persoonskenmerk, wilde ik graag nog antwoord.

De voorzitter:
De heer Koopmans van de VVD.

De heer Koopmans (VVD):
Voorzitter, dank u wel. Ook ik bedank de minister hartelijk
voor de beantwoording van de vele vragen. Ik heb twee
moties, een korte en een iets langere. De korte noem ik
"hulpvaardige handhaving".

Motie
De Kamer,
gehoord de beraadslaging,

Tweede Kamer

Algemene verordening
gegevensbescherming

8 maart 2018
TK 59

59-4-29

overwegende dat de Autoriteit Persoonsgegevens onafhankelijk is en zowel een handhavingstaak als een voorlichtingstaak heeft;
overwegende dat ondernemers, sportverenigingen, vrijwilligersorganisaties, kerkgenootschappen en private personen
nog veel vragen hebben over de inhoud en reikwijdte van
de regels inzake gegevensverwerking;
overwegende dat in de fase waarin nog veel vragen zijn
over de regels, de overheid zich zo hulpvaardig mogelijk
moet opstellen en zich dus primair behoort te richten op
voorlichting en hulp bij de interpretatie en uitvoering van
de regelgeving, onverlet haar handhavingstaak inzake
bewuste schendingen;
verzoekt de regering dit standpunt uitdrukkelijk onder de
aandacht van de Autoriteit Persoonsgegevens te brengen,
en gaat over tot de orde van de dag.
De voorzitter:
Deze motie is voorgesteld door de leden Koopmans, Van
der Graaf, Van Dam, Verhoeven en Van der Staaij.
Zij krijgt nr. 18 (34851).
De heer Koopmans (VVD):
Voorzitter. Dan mijn tweede en iets langere motie.

- de verwerking van gezondheidsgegevens van werknemers in geval van ziekte;
- de privacyaspecten rondom het branchebreed aanleggen
van zwarte lijsten van fraudeurs;
- het toepassingsgebied van de verordening, met name
gezien de uitzondering voor zuiver persoonlijke of huishoudelijke activiteiten;
- de eerste ervaringen met de behandeling door de Autoriteit Persoonsgegevens van individuele verzoeken en
klachten;
- de leeftijdsgrens voor kinderen om in een online-omgeving rechtsgeldig toestemming te geven voor het gebruik
van zijn/haar persoonsgegevens;
- de reikwijdte van de uitzondering voor kleine bedrijven
voor het bijhouden van een register voor alle persoonsgegevens die zij verwerken;
- de ruimte voor het gebruik van persoonsgegevens voor
journalistieke doeleinden;
- de reikwijdte van de uitzonderingen op het verbod van
geautomatiseerde besluitvorming;
- de mogelijkheid om een ex parte verbod analoog aan
artikel 1019e van het Wetboek van Burgerlijke Rechtsvordering van toepassing te verklaren op ernstige schendingen
van de Algemene verordening gegevensbescherming,
en gaat over tot de orde van de dag.

Motie

De voorzitter:
Deze motie is voorgesteld door de leden Koopmans, Van
Dam, Van der Graaf, Van Nispen, Buitenweg, Verhoeven
en Van der Staaij.

De Kamer,

Zij krijgt nr. 19 (34851).

gehoord de beraadslaging,

Dan is het woord aan de heer Van Nispen.

constaterende dat de Algemene verordening gegevensbescherming per 25 mei 2018 in werking treedt;
constaterende dat de regering de Kamer heeft verzocht de
behandeling van het wetsvoorstel Uitvoeringswet Algemene
verordening gegevensbescherming met voortvarendheid
ter hand te nemen;
constaterende dat de regering met het oog op de spoedige
inwerkingtreding heeft gekozen voor een beleidsneutrale
implementatie;
constaterende dat de discussie rond het gegevensbeschermingsrecht met de inwerkingtreding van de verordening
en de uitvoeringswet niet is afgerond en dat er binnen de
Kamer nog diverse vragen en wensen leven op dit gebied;
verzoekt de regering de Kamer binnen een halfjaar na
inwerkingtreding van de verordening en de uitvoeringswet
te berichten over de ervaringen met, en haar voornemens
inzake, de aanpak, zo nodig door middel van nieuwe wetgeving, van in ieder geval de volgende aspecten:
- de verwerking van gezondheidsgegevens in het kader
van sportbeoefening, zoals van belang voor gehandicaptensport en (overige) topsport;
- de verwerking van gegevens door kleinere organisaties
als vrijwilligersverenigingen, sportverenigingen, kerkgenootschappen en andere;

Tweede Kamer

Algemene verordening
gegevensbescherming

De heer Van Nispen (SP):
Het versterken van de privacyrechten is belangrijk. Dat zijn
de uitgangspunten van de Algemene verordening gegevensbescherming, en daarom steunt de SP ook de uitvoeringswet. Maar er zijn nog wel zorgen bij het midden- en kleinbedrijf, bij journalisten enzovoort; u heeft de opsomming
net gehoord. Wij hebben de motie medeondertekend, omdat
we het wel heel belangrijk vinden om in de gaten te houden
hoe dat uitpakt in de praktijk en hoe we dat vervolgens gaan
oplossen. Ik doe overigens de waarschijnlijk overbodige
oproep aan de minister om niet een halfjaar te wachten,
maar om met problemen die zich voordoen onverwijld aan
de slag te gaan. Zo nodig stellen wij die zelf aan de orde.
De SP blijft wel bezorgd over de capaciteit van de Autoriteit
Persoonsgegevens. Die heeft namelijk belangrijke taken en
krijgt er veel belangrijke taken bij. Daar hebben we het
veelvuldig over gehad. En ik vind het jammer dat het
opgestelde rapport niet is nageleefd, om het bijbehorende
budget aan de Autoriteit Persoonsgegevens te leveren.
Straks zal de heer Verhoeven, mede namens de SP, een
motie indienen die de regering verzoekt om de taakverzwaring in de gaten te houden en daar voor het einde van dit
jaar bij de Kamer op terug te komen. Ik zeg daar wel eerlijk
bij dat dat voor mij het absolute minimum is. Want eigenlijk
vind ik dat wij het rapport dat is opgevraagd, serieus moe-

8 maart 2018
TK 59

59-4-30

ten nemen. Daarom dien ik ook de volgende motie in, want
ik vind dat we de privacywaakhond voldoende budget
moeten geven.

gehoord de beraadslaging,
overwegende dat er in veel sectoren onduidelijkheid is over
de toepassing van de open normen uit de Algemene verordening gegevensbescherming;

Motie
De Kamer,
gehoord de beraadslaging,
constaterende dat de Autoriteit Persoonsgegevens er met
de inwerkingtreding van de Algemene verordening gegevensbescherming per 25 mei 2018 extra taken bij krijgt;
overwegende dat de Autoriteit Persoonsgegevens heeft
laten onderzoeken dat zij een extra bedrag van tussen de
16 en 22 miljoen euro nodig heeft om al haar taken goed
uit te kunnen blijven oefenen;
constaterende dat de Autoriteit Persoonsgegevens slechts
7 miljoen euro extra krijgt om haar taken uit te oefenen;
van mening dat een toezichthouder alleen goed toezicht
kan houden wanneer hij voldoende daadkracht en dus voldoende financiële middelen heeft;
verzoekt de regering niet pas achteraf te monitoren of de
Autoriteit Persoonsgegevens meer geld nodig heeft, maar
juist nu al de resultaten van het rapport van Andersson
Elffers Felix te respecteren, en dus bij Voorjaarsnota meer
geld vrij te maken voor de Autoriteit Persoonsgegevens,
en gaat over tot de orde van de dag.
De voorzitter:
Deze motie is voorgesteld door het lid Van Nispen. Naar
mij blijkt, wordt de indiening ervan voldoende ondersteund.
Zij krijgt nr. 20 (34851).
Mevrouw Van Toorenburg ziet af van haar spreektijd. De
heer Van der Staaij.

constaterende dat veel organisaties op grond van artikel
37 van de verordening niet de verplichting hebben om een
functionaris gegevensbescherming aan te stellen, omdat
zij zich niet bezighouden met grootschalige gegevensverwerking;
constaterende dat op basis van onder meer de richtlijn over
de functionaris gegevensbescherming van de artikel 29werkgroep van de Europese privacytoezichthouders de
voorbeelden uitdrukkelijk wijzen op de grote schaal van
bijvoorbeeld ziekenhuizen en verzekeraars en niet op bijvoorbeeld kleinere scholen, verenigingen, kerken en
bedrijven;
overwegende dat in de maatschappij onduidelijkheid
bestaat over de toepasselijkheid van de bepalingen over
de functionaris vanwege de vraag of er sprake is van
grootschaligheid van gegevensverwerking en dat instellingen en bedrijven hierdoor geneigd zullen zijn te kiezen voor
de veilige weg zonder dat zij zich daadwerkelijk met grootschalige gegevensbewerking bezighouden, met alle administratieve lasten van dien;
verzoekt de regering, te bevorderen dat de Autoriteit Persoonsgegevens op zo kort mogelijke termijn komt met
duidelijke richtlijnen voor de toepassing van de normen uit
de verordening over de functionaris voor de gegevensbescherming en te waarborgen dat kleinere instellingen en
bedrijven worden ontzien,
en gaat over tot de orde van de dag.
De voorzitter:
Deze motie is voorgesteld door de leden Van der Staaij en
Van Toorenburg. Naar mij blijkt, wordt de indiening ervan
voldoende ondersteund.
Zij krijgt nr. 21 (34851).

De heer Van der Staaij (SGP):
Voorzitter. Ik dank de minister voor zijn beantwoording. Ik
vond dat we toch wel een goed debat hadden over deze
heel complexe materie. Dat was vanzelfsprekend op
hoofdlijnen, omdat heel veel nog uitgewerkt moet worden
en toepassing in de praktijk moet krijgen, maar ik denk wel
dat belangrijke piketpaaltjes gezet zijn. Ik dank de minister
ook voor zijn positieve bejegening van mijn amendement
op stuk nr. 15. Voor mijn fractie is het inderdaad heel
belangrijk dat er in de wet zelf nu ook een haakje zit om
juist ook met kleinere organisaties rekening te houden in
de praktijk. Dus nogmaals dank voor dat welwillende oordeel. Ik zal zonder verdere toelichting nog één motie indienen. Onze sympathie en steun voor andere ingediende
moties, namelijk die van de heer Koopmans, bleek al uit de
medeondertekening. Mijn motie luidt als volgt.

Motie
De Kamer,

Tweede Kamer

Algemene verordening
gegevensbescherming

Dank u wel. Dan wordt het nu tijd voor de genuanceerde
motie van de heer Verhoeven.

De heer Verhoeven (D66):
Dank u wel, voorzitter. Dank ook aan de minister voor de
beantwoording. Dat ging op een zorgvuldige en snelle wijze.
Dat was volgens mij goed op dit moment. Dank ook voor
de motie van de heer Koopmans, die ik mede heb ondertekend. Ik weet dat ik daardoor zal worden opgenomen in het
Guinness Book of Records, want zijn motie is de langste
motie die ooit is voorgelezen in de Nederlandse Tweede
Kamer, maar dat doet wel recht aan dit complexe debat en
deze complexe materie.
Volgens mij hebben wij een goed debat gehad, waarbij de
Kamer tamelijk eensgezind naar de materie gekeken heeft.
We willen een aantal dingen wel: een gelijk speelveld op
Europees niveau, het inperken van bedrijven die hun
datamacht misbruiken, oog voor de Nederlandse situatie
en het in positie brengen van de handhaver en toezichthou-

8 maart 2018
TK 59

59-4-31

der, de Autoriteit Persoonsgegevens. We willen niet dat
kleine organisaties onnodig op kosten worden gejaagd door
de suggestie van een zeer complexe wet waarbij heel dure
adviezen nodig zijn. En we willen geen rigide toezicht maar
hulpvaardig toezicht, zoals de heer Koopmans dat zo mooi
heeft gezegd. Dat is mooi. De balans die we moeten zoeken
is het naleven en handhaven van deze wet zonder onnodige
kosten en lasten voor alle betrokken organisaties. Volgens
mij willen we daar eensgezind mee aan de slag, zowel
kabinet als Kamer.
Dan heb ik nog twee moties, voorzitter. De eerste gaat als
volgt.

goed uit te voeren, mede in het licht van het advies van
adviesbureau Andersson Elffers Felix over de verschillende
scenario's over de invulling van de taken en bevoegdheden
van de AP,
en gaat over tot de orde van de dag.
De voorzitter:
Deze motie is voorgesteld door de leden Verhoeven en Van
Nispen. Naar mij blijkt, wordt de indiening ervan voldoende
ondersteund.
Zij krijgt nr. 23 (34851).

Motie

Dank u wel, tot zover de tweede termijn van de Kamer. Ik
zal een minuutje schorsen zodat de minister de moties krijgt.

De Kamer,
De vergadering wordt enkele ogenblikken geschorst.
gehoord de beraadslaging,
overwegende dat in veel verschillende wet- en regelgeving
verschillende leeftijdsgrenzen worden gebruikt;
overwegende dat de Raad voor Volksgezondheid en
Samenleving een onderzoek uitvoert naar de willekeurigheid
van leeftijdsgrenzen en dat dit onderzoek ook relevante
inzichten kan opleveren voor de leeftijdsgrens in de UAVG,
die wij vandaag behandeld hebben;
verzoekt de regering na de publicatie van het onderzoek
van de Raad voor Volksgezondheid en Samenleving over
de willekeurigheid van leeftijdsgrenzen de leeftijdsgrens in
de UAVG, indien daartoe op basis van het onderzoek aanleiding bestaat, te heroverwegen,
en gaat over tot de orde van de dag.
De voorzitter:
Deze motie is voorgesteld door de leden Verhoeven en Van
Toorenburg. Naar mij blijkt, wordt de indiening ervan voldoende ondersteund.
Zij krijgt nr. 22 (34851).
De heer Verhoeven (D66):
Dan de tweede motie.

Motie
De Kamer,
gehoord de beraadslaging,
overwegende dat de Autoriteit Persoonsgegevens de
afgelopen jaren en door de AVG en andere wet- en regelgeving tal van extra taken en bevoegdheden heeft gekregen;
spreekt uit dat de Autoriteit Persoonsgegevens voldoende
capaciteit en middelen moet hebben en houden om haar
taken en bevoegdheden goed uit te kunnen voeren;
verzoekt de regering voor het einde van 2018 de Kamer te
informeren over de wijze waarop de Autoriteit Persoonsgegevens in staat is haar additionele taken en bevoegdheden

Tweede Kamer

Algemene verordening
gegevensbescherming

De voorzitter:
Het woord is aan de minister.

Minister Dekker:
Voorzitter. Er zijn twee vragen en een aantal moties. De
eerste vraag van mevrouw Buitenweg is of de reikwijdte
van de AVG breder is en of er een rol is weggelegd voor
het Hof van Justitie. Het antwoord daarop is ontkennend.
De bescherming van de AVG loopt parallel met de reikwijdte
van het Handvest van de grondrechten van de EU. Wat niet
tot het EU-recht behoort, valt niet onder de AVG.
Mevrouw Buitenweg (GroenLinks):
Het lastige is dat we wel hebben gezegd dat de AVG niet
alleen van toepassing is op de terreinen die binnen de
reikwijdte van de Unie vallen, maar op alle gegevens in de
Europese Unie. Dus constitutioneel is dat wel ingewikkeld,
want dat zou betekenen dat er op de terreinen buiten het
Unierecht waarop de gegevensbeschermingsverordening
wel van toepassing is, een andere interpretatie is dan op
de andere delen. Daarmee denk ik dat er wel een uitbreiding
is van de toepassing van het EU-grondrechtenhandvest en
eventueel het Hof. Maar misschien moet deze constitutionele finesse nog nader in een brief worden geduid.
Minister Dekker:
Mag ik dit meenemen? Want ik vind dit wel iets om op te
kauwen. Ik kan ook zeggen: wat daarbuiten valt, zou dan
moeten toegroeien naar. Ik weet niet of het automatisch
van toepassing is. Ik heb iets toegezegd: binnen nu en een
halfjaar. Zullen we dan ook deze zeer juridische, haast
constitutionele discussie oppakken? Dan kan ik daar in ieder
geval inhoudelijk over denken, misschien kan ik ook eens
even een gesprek voeren met een aantal collega's, en dan
kom ik daarop terug. Waar ik niet op terug ga komen, hoewel ik de discussie goed kan volgen, is de vraag waarom
we van geslacht geen bijzonder persoonsgegeven hebben
gemaakt. Ik kan me voorstellen dat er over de wenselijkheid
hiervan een enorme boom opgezet kan worden. We hebben
in het regeerakkoord ook het een en ander gezegd over de
nationale toepassing ervan. Maar als we dat in nationale

8 maart 2018
TK 59

59-4-32

wetgeving zouden aanpassen, zijn we in strijd met de AVG.
De AVG somt namelijk vrij gelimiteerd op wat bijzondere
persoonskenmerken zijn. We komen aan de wenselijkheidsvraag simpelweg niet toe, omdat het niet kan en niet mag.
Ik kom bij de moties en begin met de motie op stuk nr. 17
van mevrouw Buitenweg, over de Europese legitimering
van wat het comité straks gaat doen. Ik ontraad de motie.
Formele instemming van het Europees Parlement kan volgens het Werkingsverdrag van de EU alleen op uitvoeringsbesluiten van de Commissie of de Raad. Als je dit wilt, zou
je het verdrag moeten aanpassen. Heel eerlijk gezegd, zie
ik dat niet een-twee-drie gebeuren, althans niet specifiek
voor dit onderwerp.
De motie op stuk nr. 18 gaat over het meegeven van een
aandachtspunt aan de Autoriteit Persoonsgegevens. Ik kan
dat heel goed volgen. Ik heb daar zelf al een aantal geruststellende woorden over meegegeven in het debat, maar ik
kan ermee leven. Vandaar dat ik het oordeel aan de Kamer
laat.
Hetzelfde geldt voor hetgeen direct aan mij is opgedragen
in de motie op stuk nr. 19, namelijk om een uitgebreide
evaluatie te doen, met een hele trits aan onderwerpen. Van
een aantal kun je zeggen dat ze voortvloeien uit de vraag
hoe de nieuwe wet- en regelgeving straks landen. Een
aantal andere vragen om iets extra's te doen. Dit debat gaan
wij in het najaar voeren. Ik zou de motie willen overnemen.

en geagendeerd. Soms heb je van die trajecten waar echt
even spoed op zit. Ook vandaag nog staande het debat,
waardeer ik bijzonder de manier waarop dat eigenlijk in
hele goede samenwerking ging. Heel veel dank.
De voorzitter:
Prima. Dank aan de minister voor zijn aanwezigheid. Dank
aan de leden.
De algemene beraadslaging wordt gesloten.
De voorzitter:
Dinsdag stemmen wij over de wet en over de moties. Na
de schorsing hebben we een korte regeling van werkzaamheden en gaan we verder.
De vergadering wordt van 14.17 uur tot 14.51 uur geschorst.
Voorzitter: Arib

De voorzitter:
Bestaat er bezwaar tegen het overnemen van deze motie?
Ik stel vast dat dit niet zo is.
De motie-Koopmans c.s. (34851, nr. 19) is overgenomen.
Minister Dekker:
De motie op stuk nr. 20 ga ik ontraden. Dat zal de heer Van
Nispen niet verrassen. Iedere discussie over geld is weer
een integrale afweging. Dat doen we niet los op het eind.
Om de pijn wellicht enigszins te verzachten, spring ik even
naar de motie op stuk nr. 23. Over deze motie kan ik het
oordeel aan de Kamer laten. Ik vind het op zich geen probleem om tegen het einde van het jaar wat inzicht te geven.
Ik ga terug naar de motie op stuk nr. 21. Dat is ook weer via
mij een oproep aan de Autoriteit Persoonsgegevens. Als
het gaat om het bevorderen, kan ik er een heel eind in
meegaan. Over waarborgen kan ik niets toezeggen. Als de
heer Van der Staaij en mevrouw Van Toorenburg begrip
hebben voor de positie waarin ik verkeer en voor de onafhankelijkheid van de Autoriteit Persoonsgegevens die ik
respecteer, zou ik het oordeel over deze motie aan de Kamer
willen geven. Ik zie beide indieners positief reageren. Ik laat
het oordeel dus aan de Kamer.
Dan kom ik bij de motie op stuk nr. 22 van de heer Verhoeven. Ook daarin kan ik een heel eind meegaan. Ook over
die motie kan ik het oordeel aan de Kamer laten.
Voorzitter, ik ben door alle moties heen. Misschien toch
nog even een woord van dank. Ik wil de Kamer, de Griffie,
de voorzitter en de woordvoerders bedanken voor de enorm
voortvarende manier waarop dit onderwerp is behandeld

Tweede Kamer

Algemene verordening
gegevensbescherming

8 maart 2018
TK 59

59-4-33