Tweede Kamer der Staten-Generaal

Vergaderjaar 2010–2011

2

Aanhangsel van de Handelingen

Vragen gesteld door de leden der Kamer, met de daarop door de
regering gegeven antwoorden

828
Vragen van het lid Gesthuizen (SP) aan de minister en staatssecretaris van
Veiligheid en Justitie over de bescherming van persoonsgegevens van
Europese consumenten in de Verenigde Staten (ingezonden 1 december 2010).
Antwoord van staatssecretaris Teeven (Veiligheid en Justitie) (ontvangen
16 december 2010).
Vraag 1
Vindt u het «Safe-Harbor»-keurmerk voor Amerikaanse bedrijven van cruciaal
belang om de privacy van Europese consumenten te beschermen, omdat
alleen gecertificeerde Amerikaanse bedrijven privégegevens van Europese
consumenten mogen verwerken en het keurmerk belangrijke principes bevat
voor de verwerking van persoonsgegevens? Zo nee, waarom niet?
Antwoord 1
De doorgifte van persoonsgegevens uit de Europese Unie naar de Verenigde
Staten en de daaropvolgende verdere verwerking van die gegevens met
toepassing van de beschikking van de Europese Commissie van 26 juli 2000
(PbEG L 215), de zogenaamde «Safe Harbor»-beschikking, is inderdaad van
groot belang voor de rechtmatigheid van de verwerking van persoonsgegevens afkomstig uit de Europese Unie. Het is overigens niet zo dat alleen met
toepassing van de «Safe Harbor»-beschikking doorgegeven persoonsgegevens Amerikaanse bedrijven rechtvaardigt die gegevens te verwerken.
Daarvoor bestaan verschillende aanvullende grondslagen.
Vraag 2
Wat is uw reactie op het artikel waaruit blijkt dat door Amerikaanse bedrijven
al jarenlang grootschalige fraude wordt gepleegd met het «Safe-Harbor»keurmerk?1
Antwoord 2
Het artikel in Webwereld.nl is gebaseerd op de weergave door derden van
mondelinge uitlatingen van een vertegenwoordiger van een Australisch
onderzoeksbureau. Het betreffende bureau, Galexia, heeft, naar het beweert
op de eigen website, onderzoek gedaan naar de werking van het «Safe
Harbor»-keurmerk, maar het rapport over dat onderzoek tot dusverre niet
willen publiceren, of willen toezenden aan belanghebbenden. Onder deze
1

ah-tk-20102011-828
ISSN 0921 - 7398
’s-Gravenhage 2010

Webwereld.nl, 30 november 2010.

Tweede Kamer, vergaderjaar 2010–2011, Aanhangsel

1

omstandigheden onthoud ik mij van een oordeel over de beweringen in het
artikel in Webwereld.nl die betrekking hebben op het desbetreffende rapport.
Vraag 3
Hoe beoordeelt u de controle op de regels rondom «Safe-Harbor»? Is het
waar dat het Amerikaanse ministerie van Handel geen enkel onderzoek doet
naar privacybeleid noch enige controle uitoefent, en dat de bedrijven zichzelf
certificeren en controleren?
Antwoord 3
De essentie van het «Safe Harbor»-systeem is dat bedrijven op basis van
volstrekte vrijwilligheid verklaren zich te zullen houden aan de «Safe Harbor»beginselen en de antwoorden die zijn gegeven op de Frequently Asked
Questions (FAQ), zoals geformuleerd in de beschikking van de Commissie,
genoemd in antwoord 1. In FAQ nr. 7 is het systeem van controle en toezicht
op de verklaringen van de desbetreffende bedrijven opgenomen. Zakelijk
weergegeven kunnen bedrijven de naleving van de regels verzekeren via een
zelfevaluatie, of via een externe audit, die beide wel aan bepaalde eisen
moeten voldoen. Bij niet-naleving van deze regels, bestaat de mogelijkheid
voor belanghebbenden bij de Federal Trade Commission (FTC) een klacht in
te dienen, om te bezien of de mededingings- en consumentenbeschermingswetgeving – waar gegevensbescherming een onderdeel van is – wordt
nageleefd. De FTC kan een verbod opleggen tot het uitoefenen van praktijken
in strijd met de «Safe Harbor»-beginselen, of zonodig de federale rechter
inschakelen. Strafrechtelijke actie is ook mogelijk, zeker bij het afleggen van
valse verklaringen. De taak van het Department of Commerce (DoC) is slechts
beperkt tot het bijhouden van een openbaar bestand van bedrijven die onder
de «Safe Harbor»-beginselen zijn gecertificeerd. Permanente niet-naleving
van de regels kan leiden tot verwijdering van die lijst, maar er is niet voorzien
in een actieve rol van het DoC bij de handhaving van die lijst. Dat vereist
gerichte actie van, hetzij de FTC, hetzij belanghebbenden.
Bij dit systeem moet worden bedacht dat het Amerikaanse gegevensbeschermingsrecht voor de private sector sterk afwijkt van het Europese systeem. Er
bestaat geen algemene wetgeving voor gegevensbescherming in de
particuliere sector, en evenmin een algemeen bevoegde toezichthouder. De
handhaving berust, in overeenstemming met de principes van het Amerikaans privaatrecht, op eigen initiatief van belanghebbenden.
Vraag 4
Is het waar dat honderden Amerikaanse bedrijven ten onrechte claimen
gecertificeerd te zijn en zich niet houden aan deze principes van bescherming
van persoonsgegevens? Is het waar dat veel bedrijven die wel gecertificeerd
zijn helemaal niet duidelijk maken hoe zij de principes handhaven en de
gevoelige data van Europeanen beschermen?
Antwoord 4
Het College bescherming persoonsgegevens heeft mij bericht dat in het
verleden in eerdere rapporten over het functioneren van het «Safe Harbor»systeem die zijn uitgebracht aan de Europese Commissie kritisch is geoordeeld over de beperkte mogelijkheden van het DoC voor toezicht op de
naleving en handhaving van de lijst met aanmeldingen. Tot welke misstanden
dit aanleiding gaf, en in welke mate zich die hebben voorgedaan, is mij niet
bekend.
Vraag 5
Maakt u zich zorgen over de bescherming van persoonsgegevens van
Europeanen in de Verenigde Staten? Zo ja, welke maatregelen gaat u nemen
om te zorgen dat deze persoonsgegevens veel beter dan nu het geval is
beschermd gaan worden?
Antwoord 5
De omstandigheid dat in de Verenigde Staten een ander gegevensbeschermingsrecht bestaat dan in de Europese Unie geeft mij op zichzelf genomen
geen reden tot zorg over het niveau van de bescherming van persoonsgegevens afkomstig uit de Europese Unie in de Verenigde Staten. De handhaving
van de «Safe Harbor»-beschikking is echter een zaak die uitsluitend op

Tweede Kamer, vergaderjaar 2010–2011, Aanhangsel

2

Europees niveau door de Commissie kan worden aangepakt. Het ligt dan ook
op de weg van de Commissie om het niveau van uitvoering en handhaving
van de door haar vastgestelde beschikking in de Verenigde Staten met de
Amerikaanse autoriteiten op te nemen. Verder is, voor zover mij bekend, de
«Safe Harbor»-beschikking nog niet geëvalueerd. Krachtens artikel 4 van de
beschikking heeft de Commissie een verplichting daartoe. Ik ben bereid de
Commissie daar op gepaste wijze over te benaderen.
Vraag 6
Bent u van mening dat het hard nodig is dat er zo snel mogelijk een
algemeen bindend verdrag wordt gesloten met de Verenigde Staten over de
bescherming van persoonsgegevens, dat niet alleen ziet op justitiële
gegevens maar op alle gegevens? Zo ja, hoe gaat u dit bevorderen? Zo nee,
waarom niet? Welke maatregelen gaat u dan nemen om er voor te zorgen dat
persoonsgegevens van Europese burgers in de Verenigde Staten beter
beschermd worden?
Antwoord 6
De grote verschillen tussen het Amerikaans en Europees gegevensbeschermingsrecht voor de private sector zouden het opstellen van een verdrag
tussen de Europese Unie en de Verenigde Staten over gegevensbescherming
tot een gecompliceerde en langdurige opgave maken. De vraag is dan ook of
de Verenigde Staten en de Europese Unie daartoe bereid zullen zijn. Er zijn
echter, juist in Europees verband, alternatieven beschikbaar. Naast een meer
gerichte aandacht voor de werking van de «Safe Harbor»-beschikking in de
praktijk, zijn er mogelijkheden om via door de Europese Commissie vastgestelde standaardcontracten persoonsgegevens rechtmatig aan ontvangers in
de Verenigde Staten door te geven. Het lijkt zeker mogelijk om bij de
komende herziening van de EU-privacyrichtlijn meer instrumenten te
ontwikkelen die een verantwoorde gegevensoverdracht naar de Verenigde
Staten mogelijk maken.

Tweede Kamer, vergaderjaar 2010–2011, Aanhangsel

3