Tweede Kamer der Staten-Generaal

2

Vergaderjaar 2011–2012

32 761

Verwerking en bescherming persoonsgegevens

Nr. 34

BRIEF VAN DE STAATSSECRETARIS VAN VEILIGHEID EN
JUSTITIE
Aan de Voorzitter van de Tweede Kamer der Staten-Generaal
Den Haag, 29 juni 2012
Tijdens het Algemeen Overleg over de EU-wetgeving bescherming
persoonsgegevens op 7 maart jl. (Kamerstuk 32 761, nr. 27) heb ik
toegezegd om de Tweede Kamer voor het zomerreces te informeren over
enige onderwerpen met betrekking tot het College bescherming persoonsgegevens (Cbp). Ook maak ik van de gelegenheid gebruik u te informeren
over het verloop van het onderhandelingsproces over de verordening en
de richtlijn in Brussel.
Financiering Cbp
De financiering van het Cbp is in de afgelopen periode bij meerdere
gelegenheden aan de orde geweest, met name werd de vraag gesteld of
het niet mogelijk was extra financiële ruimte te vinden voor het Cbp. Die
ruimte is – gezien het huidige financiële klimaat en in het licht van het
begrotingsakkoord en mogelijk nog op handen zijnde bezuinigingen – niet
beschikbaar. Daarbij wil ik memoreren dat het budget voor het Cbp tot
2010, volledig is ontzien (het budget steeg van 2001 tot 2010 gemiddeld
12% per jaar). Vanaf 2010 is het budget voor het Cbp ondanks de
financiële crisis bij de opgelegde taakstellingen zoveel mogelijk ontzien.
Het budget wordt gemiddeld met 1% per jaar gekort, waar andere
organisaties tot 10% of meer structureel hebben moeten inleveren.
Met het oog op de meldingsplicht datalekken is de afspraak gemaakt dat
de effecten daarvan voor de werklast van het Cbp worden gemonitord en
dat, indien daartoe aanleiding bestaat, daarover het gesprek gevoerd kan
worden.
Financiering middels bestuurlijke boetebevoegdheid
Ik zegde uw Kamer, ten behoeve van aanvullende financiering van het
Cbp, een standpuntbepaling toe over het alsnog doorzetten van nationale
wetgeving om het Cbp uit te rusten met een bestuurlijke boetebevoegdheid.

kst-32761-34
ISSN 0921 - 7371
’s-Gravenhage 2012

Tweede Kamer, vergaderjaar 2011–2012, 32 761, nr. 34

1

Daarvoor is bij vier soortgelijke organisaties (NMa, OPTA, AFM en BFT)
onderzocht aan wie de ontvangsten uit de bestuurlijke boeten toekomt.
Uit dit onderzoek is gebleken dat de ontvangsten van de bestuurlijke
boeten niet toekomen aan het bestuursorgaan dat ze oplegt (NMa, OPTA
en AFM). Dit heeft te maken met het feit dat ontvangsten (uit een
bestuurlijke boetebevoegdheid) niet (zomaar) kunnen worden ingezet om
de uitgaven te dekken als gevolg van de inkomsten- en uitgavenscheiding
die de overheid hanteert.
In het geval waar dit wel zo is (BFT) gaat het om een dermate gering
bedrag dat daarmee (de schijn van) belangenverstrengeling wordt
voorkomen.
Ook zou het inzetten van boetes ter financiering van het Cbp op principiële
bezwaren stuiten. Het is gebleken dat het moeilijk te ramen is welk bedrag
er aan boetes in een willekeurig jaar ontvangen gaat worden. Bij
tegenvallende ontvangsten ontstaat wellicht de neiging – of de druk van
buitenaf – hierop te sturen. Als ik het Cbp een ontvangstenkader zou
opleggen voor de ontvangsten uit boetes kan dit een perverse prikkel aan
het Cbp geven en/of een verkeerd beeld scheppen in de buitenwereld.
Mijns inziens moet te allen tijde voorkomen worden dat de schijn gewekt
wordt dat het Cbp een boete oplegt om de eigen exploitatie te bekostigen.
Financiering middels prejudiciële vragen
In het algemeen overleg van 7 maart 2012 is in het kader van de financiering van het Cbp door het lid Van Toorenburg de mogelijkheid
geopperd dat belanghebbenden, gedacht werd met name aan het
bedrijfsleven, tegen betaling bepaalde rechtsvragen door het Cbp zouden
kunnen laten beantwoorden. Ik heb toegezegd die mogelijkheid nader te
zullen bezien en daarop terug te komen.
Ik heb deze suggestie allereerst met het georganiseerd bedrijfsleven
besproken. Het bedrijfsleven heeft mij meegegeven dat het veel meer ziet
in het verder ontwikkelen van de bestaande relaties met het Cbp, dan in
het tegen betaling laten beantwoorden van vragen. Ook vreest men een
verdergaande juridisering van privacyvraagstukken wanneer dit voorstel
zou worden uitgevoerd.
Ook het Cbp heeft mij laten weten niet veel voor de suggestie te voelen. Ik
moet dan ook concluderen dat een voldoende draagvlak voor uitvoering
van de suggestie lijkt te ontbreken. Het lijkt mij dan ook niet verstandig
deze weg verder te vervolgen.
Financiering vanuit Brussel
In het algemeen overleg van 7 maart 2012 is in het kader van de financiering van het Cbp door het lid van uw Kamer de heer Elissen de vraag
aan de orde gesteld of uit Europese fondsen aanvullende financiering
voor het Cbp kan worden verkregen.
Het voorstel voor een Algemene verordening gegevensbescherming
bevat een bepaling die juist de lidstaten verplicht zorg te dragen voor een
adequate financiering van het Cbp, waarbij de uiteindelijke bepaling wat
als «adequaat» kan worden aangemerkt aan de Europese Commissie is.
Los van de omstandigheid dat ik bezwaren heb tegen deze bepaling, acht
ik de kans dat met een dergelijk voorstel in het kader van deze onderhandelingen aanvullende financiering uit Europese fondsen mogelijk is,
nagenoeg nihil. Wellicht is het mogelijk om direct of indirect uit andere
Europese bronnen financiering te verkrijgen. Als dat mogelijk is, zal ik uw
Kamer daarover berichten.

Tweede Kamer, vergaderjaar 2011–2012, 32 761, nr. 34

2

Uitbreiding sanctiebevoegdheden Cbp los van financieringsvraagstukken
In het algemeen overleg van 7 maart 2012 is, ook los van de discussie
over de financiering van het Cbp, door een aantal leden van uw Kamer
gevraagd naar de mogelijkheid om in Nederland op korte termijn op
nationaal niveau wetgeving tot stand te brengen waarmee het Cbp de
materiële bepalingen van de Wbp met een bestuurlijke boete zou kunnen
handhaven.
In zijn algemeenheid ben ik er voorstander van dat het Cbp met een
bredere bestuurlijke boetebevoegdheid wordt uitgerust. Ik heb dat ook
uiteengezet in de brief die ik samen met de Minister van Binnenlandse
Zaken en Koninkrijksrelaties op 29 april 2011 (Kamerstukken II 2010/11,
32 761, nr. 1) aan uw Kamer heb gezonden en de daarbij behorende
Notitie privacybeleid. In mijn brief van 20 februari 2012 aan de Voorzitter
van de Eerste Kamer der Staten-Generaal – en waarvan afschrift is
gezonden aan de Voorzitter van de Tweede Kamer der Staten-Generaal
(Kamerstukken I 2011/12, 33 000, R) ben ik reeds op dit vraagstuk
ingegaan.
De omstandigheid dat de Europese Commissie in het voorstel voor een
Algemene verordening gegevensbeschermingsrecht eveneens een
voorstel heeft gedaan om dataprotectietoezichthouders met een bestuurlijke boetebevoegdheid uit te rusten, plaatst de uitvoering van dat
voornemen in een ander licht.
Allereerst wil ik graag vermijden dat er nodeloos dubbel werk wordt
verricht. Een wetsvoorstel voor de bestuurlijke boetebevoegdheid kost de
nodige voorbereidingstijd. In de tussentijd gaan de onderhandelingen
over de verordening gewoon door. Daarnaast geeft een nationaal
wetsvoorstel onvermijdelijk aanleiding tot de vraag hoe dat wetsvoorstel
zich verhoudt tot de ontwerpverordening. Het zal noodzakelijk zijn een
dergelijk wetsvoorstel aan de Europese Commissie te notificeren, omdat
het vermoedelijk valt binnen de reikwijdte van de notificatierichtlijnen
(richtlijnen 98/34/EG en 98/48/EG) en de Dienstenrichtlijn. De Commissie
kan na notificering eventueel een standstilltermijn opleggen indien zij van
oordeel is dat het wetsvoorstel een verstoring van de interne markt
oplevert. Die standstilltermijn kan onder omstandigheden oplopen tot
18 maanden.
Om dergelijke beslissingen zoveel mogelijk te voorkomen, zou het dan
voor de hand liggen dat een wetsvoorstel vast zoveel mogelijk wordt
toegesneden op de verordening. Dat is maar gedeeltelijk mogelijk, omdat
de verordening aanzienlijk uitgebreider is dan richtlijn 95/46/EG waarop de
Wbp berust. Bovendien liggen belangrijke onderdelen van de sanctiebepaling, waaronder de maximumbedragen, in de verordening nog niet
voldoende vast.
En na vaststelling van de verordening is nationale wetgeving tot regeling
van de bestuurlijke boete in het dataprotectierecht niet langer verenigbaar
met het EU-recht. Die wetgeving zal dan weer moeten worden
ingetrokken.
Alles afwegende moet ik concluderen dat een voorstel van wet tot
regeling van de bevoegdheid van het Cbp om overtredingen van de
materiële bepalingen van de Wbp bestuurlijk te beboeten zowel inhoudelijk als procedureel met veel onzekerheden is omgeven. De kans dat een
zodanig wetsvoorstel het Staatsblad haalt op een moment dat de
samenleving daar nog geruime tijd de vruchten van kan plukken voordat
het wordt achterhaald door de verordening acht ik dan ook zodanig klein,
dat ik afzie van het voornemen een dergelijk voorstel voor te bereiden.

Tweede Kamer, vergaderjaar 2011–2012, 32 761, nr. 34

3

Stand van zaken onderhandelingen Algemene verordening
gegevensbescherming en richtlijn gegevensbescherming
opsporing en vervolging
De Commissie heeft het voorstel voor een Algemene verordening
gegevensbescherming en het voorstel voor een richtlijn voor de
bescherming van persoonsgegevens bij de opsporing en vervolging op
25 januari 2012 gelijktijdig bij het Europees Parlement en de Raad
ingediend.
In de Raad is het voorstel toebedeeld aan de permanente Raadswerkgroep
Data Protection and Information Exchange.
Het voorzitterschap heeft tot op heden twee vergaderingen van de
werkgroep belegd, op 23 en 24 februari 2012, en op 14 en 15 maart 2012.
Een oorspronkelijk geplande vergadering op 16 en 17 april 2012 is bekort
tot één dag en uitsluitend gewijd aan het voorstel voor de richtlijn voor de
gegevensbescherming op het gebied van de opsporing en vervolging. Een
oorspronkelijk geplande vergadering op 22 en 23 mei 2012 moest worden
uitgesteld, omdat het vergadergebouw en de beschikbare vertolkingscapaciteit benodigd waren voor een ingelaste vergadering van de Europese
Raad. Op 27 en 28 juni 2012 is een nieuwe vergadering belegd. Het
Cyprische voorzitterschap heeft haar planning voor de tweede helft van
dit jaar nog niet bekendgemaakt.
De Raadswerkgroep vergadert in breed verband. Naast de EU-lidstaten,
zijn toetredend lid Kroatië, de EER-landen IJsland, Noorwegen en
Liechtenstein en, vanwege de Schengen-aspecten, ook Zwitserland
vertegenwoordigd. In totaal betreft het 34 landen.
De Commissie hoopt over beide voorstellen in de eerste helft van 2013
een politiek akkoord te bereiken. De Commissie hoopt dat het pakket voor
de eerstvolgende verkiezing van het Europees Parlement in juni 2014
gereed is.
Een aantal parlementen van de lidstaten – of kamers daaruit – heeft op
één of beide instrumenten een negatief subsidiariteitsoordeel uitgesproken, conform artikel 6 van Protocol nr. 2 betreffende de toepassing
van de beginselen van subsidiariteit en evenredigheid, behorende bij het
Verdrag van Lissabon. Voor zover thans bekend betreft het Portugal
(Nationale Assemblee), Duitsland (Bondsraad), Zweden (Rijksdag), Spanje
(Cortes) en Frankrijk (Senaat).
Raadswerkgroep 22 en 23 februari 2012
In de Raadswerkgroep van 22 en 23 februari 2012 is het voorstel eerst in
algemene zin en vervolgens artikelsgewijs besproken op ambtelijk niveau.
De werkzaamheden zijn gestart met een presentatie door de Commissie
van het totale pakket. De Commissie heeft daarbij aangegeven veel
waarde toe te kennen aan stimulering van de groei van de digitale
economie. Wanneer het vertrouwen van burgers in de bescherming van
hun persoonsgegevens in de hele EU toeneemt, aldus de Commissie, zal
juist de digitale economie daarvan profiteren. Dat geldt volgens de
Commissie ook voor het terrein van politie en justitie, omdat de richtlijn
ook regels geeft voor de binnenlandse verwerking van persoonsgegevens
door politie en justitie. Ook geven de technologische ontwikkelingen de
Commissie aanleiding het rechtskader te herzien. Tenslotte wordt met het
pakket ook een belangrijke versterking van de rechten van de burger
beoogd.
Met het voorstel voor de verordening wil de Commissie vier hoofddoelstellingen realiseren. Eerste hoofddoelstelling is een betere bescherming
van de burger. De burger moet in staat worden gesteld meer zeggenschap
over de eigen gegevens uit te oefenen. Daarom wordt het recht om te
worden vergeten voorgesteld. Het recht op dataportabiliteit en een betere

Tweede Kamer, vergaderjaar 2011–2012, 32 761, nr. 34

4

bescherming van jeugdigen passen daar ook bij. Tweede hoofddoelstelling is een versterking van de handhaving. Toezichthoudende
autoriteiten krijgen meer bevoegdheden om op te treden en stevige
sanctiemogelijkheden. Handhaving is ook van belang in verband met de
economische waarde van gegevens. Daarbij past ook dat de verplichtingen op het gebied van de informatiebeveiliging worden aangescherpt.
Derde hoofddoelstelling is dat met de keuze voor een verordening een
meer samenhangend en eenvormiger pakket aan regels kan worden
vastgesteld, dat bovendien met uitvoeringsregels gemakkelijk zal kunnen
worden aangepast aan nieuwe ontwikkelingen. Hierbij past ook een
terugdringing van de bureaucratie, waarvan het bedrijfsleven zal kunnen
profiteren. Bij een meer eenvormig stelsel van regels past ook een goed
gecoördineerde handhaving, ook binnen de EU als geheel. Een nieuwe
European Data Protection Board past daarbij. Vierde hoofddoelstelling zijn
nieuwe regels en nieuwe mogelijkheden voor de grensoverschrijdende
doorgifte van gegevens.
Nederland heeft in de algemene discussie volgend op de presentatie
allereerst het door uw Kamer verlangde parlementair voorbehoud
uitgesproken, gevolgd door een algemeen studievoorbehoud op het
gehele pakket. Nederland heeft vervolgens zijn waardering uitgesproken
voor de indrukwekkende hoeveelheid werk die de Commissie heeft
verricht.
Het voorstel regelt volgens Nederland een groot aantal zaken die niet
meer op nationaal niveau kunnen worden geregeld. Eenvormige
regelgeving, verplichte onderlinge samenwerking van toezichthouders en
een eenvormig sanctieregime zullen bijdragen aan verhoging van het
niveau van gegevensbescherming in de Unie. De keuze voor een
verordening is positief. Niettemin zijn er wel een groot aantal vragen over
de algemene opzet van de verordening. Nederland mist ook een regeling
ten aanzien van openbaarheid van documenten. De positie van de
gewone burger die zelf persoonsgegevens verwerkt buiten de exceptie
voor zuiver persoonlijke en huishoudelijke doeleinden wordt aan dezelfde
verplichtingen onderworpen als een groot bedrijf. Dat geldt dus ook voor
bijvoorbeeld een student die in het kader van een onderzoek persoonsgegevens verwerkt. Ten aanzien van de positie van de burger die op
kleinschalige wijze, al dan niet via sociale netwerken gegevens verwerkt
vraagt Nederland zich af of de verordening daarop wel goed is toegesneden. Bij de positie van bedrijven wordt wat het opleggen van
verplichtingen betreft een onderscheid gemaakt naar grootte van de
onderneming. Waar het gaat om gegevensbescherming lijkt het risico dat
met de specifieke verwerking is gemoeid een beter criterium. Een klassiek
industrieel productiebedrijf heeft – ongeacht de grootte – doorgaans niet
meer dan een personeelsbestand. Een algemeen aanvaarde gegevensverwerking. Het is vraag of daarvoor Privacy Impact Assessments moeten
worden gemaakt.
Belangrijk voor Nederland is dat de positie van de overheid in de
samenleving zich onderscheidt van die van burgers en bedrijven.
Overheden hebben gegevens nodig voor de verwerkelijking van andere
grondrechten van burgers dan het recht op bescherming van persoonsgegevens. Overheden moeten die gegevens onderling kunnen delen.
Overheden moeten zich daartegenover ook verantwoorden jegens
parlementen, rechtstreeks naar burgers en naar de rechter. Gemist
worden bepalingen over de posities van openbare registers, nationale
identificatienummers en openbaarheid van documenten.
De voorwaarden voor het toepassen van cameratoezicht worden
verzwaard. Dat acht Nederland problematisch. Het is goed te lezen dat
administratieve lasten gemoeid met de meldplicht in de richtlijn
verdwijnen. Daar staat tegenover dat de verplichtingen voor bedrijven en
overheid toenemen met een onbekend bedrag. Omdat wij niet weten met

Tweede Kamer, vergaderjaar 2011–2012, 32 761, nr. 34

5

welk bedrag is het de vraag of er voldoende evenwicht bestaat in het
voorstel. Het is goed te zien dat het regime voor grensoverschrijdende
verwerkingen is verbeterd.
Toch is het de vraag of alle problemen zijn opgelost, met name de vraag
over de rechtvaardiging van gegevensoverdracht op grond van eenzijdige
verplichtingen van buitenlands recht. Vragen bestaan ook over de
voorstellen om op vele punten te voorzien in gedelegeerde handelingen
door de Commissie. De noodzaak daartoe staat in lang niet in alle
gevallen vast. Het toezicht wordt versterkt. Maar er zijn vragen van
institutionele aard te stellen bij de voorgestelde samenstelling van de
European Data Protection Board. De eisen die worden gesteld aan de
financiering van de nationale toezichthouders in een tijd waarin alle
overheden verplicht zijn te bezuinigen acht Nederland niet gerechtvaardigd.
De rest van de vergadering is besteed aan een artikelsgewijze bespreking
van de artikelen 1 tot en met 5, onderdeel a, van de verordening. Deze
besprekingen kenmerken zich door een zeer grondige en gedetailleerde
vraagstelling door alle lidstaten die het woord voeren. Het eerste gedeelte
van de verordening bevat de definitie- en reikwijdtebepalingen. Het is juist
bij deze bepalingen dat zich de meeste nieuwe vragen en interpretatiekwesties voordoen. Het is van groot belang dat op de gestelde vragen
steeds een zo duidelijk mogelijk antwoord komt, dat te zijner bij de Raad
op een zo breed mogelijk draagvlak kan rekenen. Wij zijn echter nog niet
zo ver dat over alle besproken onderdelen al voldoende consensus bereikt
kan worden.
Nederland heeft in de artikelsgewijze bespreking aandacht gevraagd voor
een aantal bijzondere aspecten.
Nederland heeft met name aandacht gevraagd voor de reikwijdte van de
uitzondering die de richtlijn maakt voor gegevensverwerking van
persoonlijke en huishoudelijke aard. Nederland acht het van groot belang
dat juist in een digitale economie de verordening rekening houdt met zeer
kleinschalige verwerkingen van beroeps- en bedrijfsmatige aard, en dat
juist deze verwerkingen op evenredige en passende wijze worden
benaderd als het gaat om het opleggen van verplichtingen. Verder heeft
Nederland nog aandacht gevraagd voor de omstandigheid dat de politie
in Nederland soms ook taken verricht die buiten het strikt strafrechtelijke
domein vallen. De vraag is of persoonsgegevens die in dat kader worden
verwerkt door de verordening worden beheerst, of toch ook door de
richtlijn.
Verder heeft Nederland aandacht gevraagd voor het schrappen van de
activiteit «blokkeren» als bestanddeel van het verwerken van persoonsgegevens. Nederland heeft ook aandacht gevraagd voor de consequenties
voor de nalevingskosten die voortvloeien uit het vernieuwde begrip
toestemming en de wijze waarop dat in de verordening is uitgewerkt.
Nederland heeft tegen de achtergrond van de eigen ervaring bij het
opstellen van het wetsvoorstel meldplicht datalekken gewaarschuwd voor
de consequenties van het verplicht melden van elk denkbaar datalek.
Nederland heeft daarnaast aandacht gevraagd voor de leeftijdsgrens van
18 jaar. Hoewel er nog afzonderlijk wordt gesproken over de leeftijdsgrens
van 13 jaar voor de verwerking van gegevens van en door jeugdigen op
internet, vraagt Nederland zich af of de leeftijdsgrens van 18 jaar voor alle
overige gevallen wel voldoende aansluit bij de realiteit van alle dag.
Raadswerkgroep 15 en 16 maart 2012
In de Raadswerkgroep van 15 en 16 maart 2012 is een presentatie
gehouden door de Europees Toezichthouder voor Gegevensbescherming
(EDPS), de heer Hustinx, van het omvangrijke en grondige advies dat hij
op 7 maart 2012 over het hele pakket heeft uitgebracht. De presentatie is

Tweede Kamer, vergaderjaar 2011–2012, 32 761, nr. 34

6

gevolgd door een discussie over enkele hoofdlijnen van het advies, zoals
de regeling voor het verenigbaar gebruik van persoonsgegevens voor
verschillende doeleinden en de mogelijkheid voor het maken van een
onderscheid tussen de private en de publieke sector.
Vervolgens is een presentatie gehouden door de voorzitter van Artikel 29
Werkgroep, het onafhankelijk verband van
EU-dataprotectietoezichthouders, de heer Kohnstamm. De Artikel 29
Werkgroep heeft op 23 maart 2012 een advies vastgesteld waarvan de
hoofdlijnen door de heer Kohnstamm werden onthuld. Ook zijn presentatie gaf aanleiding tot discussie, onder meer over de vraag onder welke
voorwaarden persoonsgegevens aan de overheden van derde landen
mogen worden doorgegeven en de vraag naar de mogelijkheden om de
vaststelling van adviezen van de European Data Protection Board vooraf
te laten gaan door het horen van belanghebbenden.
De rest van de vergadering is besteed aan een bespreking van de artikelen
5, onder b, tot en met 9, eerste lid. Ook deze artikelen horen tot de
basisbeginselen van de verordening, en zijn daarom eveneens grondig en
gedetailleerd besproken.
Nederland heeft bij de behandeling van de algemene beginselen aandacht
gevraagd voor de noodzaak de rechtvaardigingsgronden voor het
verwerken van persoonsgegevens zorgvuldiger te verantwoorden, de
noodzaak om duidelijker te omschrijven onder welke voorwaarden
nevengebruik van persoonsgegevens gerechtvaardigd is en de regeling
van de bewaartermijn.
Bij de behandeling van de rechtvaardigingsgronden is langdurig
stilgestaan bij de vraag hoe het criterium gegevensverwerking ten
behoeve van de uitoefening van publieke taken moet worden afgegrensd,
de vraag hoe de eisen die gesteld worden aan de nationale wetgeving die
rechtvaardigt dat voor bij die wetgeving te bepalen doelen persoonsgegevens mogen worden verwerkt zich verhouden tot de eisen die gelden
op grond van het nationale recht. Bij de regeling voor het verenigbaar
gebruik is door Nederland aandacht gevraagd voor de noodzaak de
verantwoordelijke de bevoegdheid te geven primair te bepalen welk
gebruik als verenigbaar gebruik, of bij onverenigbaar gebruik, te bepalen
welke rechtvaardigingsgrond daarvoor moet worden ingeroepen. Ook is
gevraagd naar de mogelijkheden om gegevens door een verantwoordelijke ten behoeve van derden te mogen verwerken.
Het toestemmingsvereiste gaf aanleiding tot veel vragen over de
consequenties van het toestemmingsvereiste voor de nalevingskosten, en
vooral over de rechtsgevolgen van het intrekken van een toestemming. De
algemene beperkingsclausule dat toestemming geen rechtvaardigingsgrond kan vormen bij een substantiële onevenwichtigheid in de
verhouding tussen verantwoordelijke en betrokkene vond vanwege het
potentieel zeer conflictopwekkende karakter daarvan weinig bijval.
De verwerking van persoonsgegevens van jeugdigen geeft aanleiding tot
een onderscheid in verschillende groepen jeugdigen, omdat verschillende
leeftijdsgrenzen worden voorgesteld voor de diensten van de informatiemaatschappij (13 jaar), en alle overige verwerkingen (18 jaar). Laatstgenoemde laatste grens acht Nederland te eenzijdig georiënteerd op het
formele criterium van de VN-Verdrag voor de rechten van het kind. Met de
eerstgenoemde grens wordt aansluiting gezocht aan het Amerikaanse
recht. Nederland heeft begrip voor dit argument getoond, uit oogpunt van
de wenselijkheid van toenadering tot de VS. Niettemin is ook de vraag
opgeworpen of een iets hogere leeftijd (15 of 16 jaar) niet beter is uit
beschermingsoogpunt. De uitvoerbaarheid en handhaafbaarheid van de
leeftijdgrenzen geeft nog veel aanleiding tot aarzelingen, omdat algemeen
aanvaarde effectieve middelen om leeftijdsgrenzen en ouderlijke
toestemming online betrouwbaar vast te stellen nog ontbreken.

Tweede Kamer, vergaderjaar 2011–2012, 32 761, nr. 34

7

Het verbod van de verwerking van bijzondere persoonsgegevens heeft
aanleiding gegeven tot de vraag of een contextafhankelijke vaststelling
van hetgeen als bijzonder gegeven moet worden aangemerkt niet de
voorkeur verdient boven een strikt gereguleerd limitatief stelsel van
verboden. Nederland heeft zijn grote verontrusting uitgesproken over de
consequentie van het niet langer regelen van de categorie verdenking als
bijzonder persoonsgegeven en het verminderen van mogelijkheden voor
de private sector om door middel van het verwerken van dit gegeven de
eigen rechtmatige belangen te beschermen. Duidelijkheid is gevraagd en
verkregen over de status van de verwerking van persoonsidentificerende
nummers door de overheid. Deze nummers behoeven onder de werking
van de verordening geen expliciete positie meer. De artikelen 5 en 6 van
de verordening bieden voldoende waarborgen voor een verantwoorde
toepassing van dit instrument.
Comité Artikel 36 3 april 2012
Op 3 april 2012 is in het Comité Artikel 36 gesproken over enkele
deelvragen van meer algemene strategische aard rond de ontwerprichtlijn
bescherming persoonsgegevens opsporing en vervolging. In de eerste
plaats nodigde het Voorzitterschap de delegaties uit om zich uit te laten
over de voorgestelde reikwijdte van de ontwerprichtlijn. Dit in het licht
van het voorstel van de Commissie om de regels van de ontwerprichtlijn –
anders dan die van het kaderbesluit dataprotectie – ook van toepassing te
doen zijn op de verwerking van persoonsgegevens in een strikt nationale
context. In de bijeenkomst van 3 april 2012 heeft de Nederlandse delegatie
aangegeven van mening te zijn dat het nuttig en praktisch is om één
regime te hebben voor zowel de nationale gegevensverwerking als de
verstrekking van persoonsgegevens aan andere lidstaten.
In de tweede plaats nodigde het Voorzitterschap de delegaties uit om zich
uit te laten over de voorgestelde regeling rond de verhouding tussen de
richtlijn en de bestaande overeenkomsten van lidstaten met derde landen,
in artikel 60 van de ontwerprichtlijn. De regeling verplicht de lidstaten tot
heronderhandeling van bestaande overeenkomsten met derde landen,
indien niet wordt voldaan aan het niveau van gegevensbescherming van
de richtlijn. De Nederlandse delegatie heeft aangegeven geen meerwaarde te zien in een verplichting tot heronderhandeling van bestaande
bilaterale overeenkomsten met derde landen. Op dit punt staat de
regeling van artikel 60 van de ontwerprichtlijn haaks op die van artikel 26
van het kaderbesluit dataprotectie, waarin is bepaald dat verplichtingen
en verbintenissen op grond van bestaande bilaterale of multilaterale
overeenkomsten met derde landen blijven bestaan.
Het Voorzitterschap heeft geconcludeerd dat een meerderheid der
lidstaten positief staat ten opzichte van de voorgestelde uitbreiding van de
reikwijdte van de richtlijn. Daarnaast is geconcludeerd dat alle lidstaten
voorstander zijn van een regeling waarbij de bestaande akkoorden kunnen
blijven bestaan, en dat er geen steun is voor de voorgestelde regeling van
artikel 60 van de ontwerprichtlijn.
Raadswerkgroep 16 april 2012
In de Raadswerkgroep van 16 april 2012 is het voorstel voor de richtlijn
artikelsgewijs besproken. Daarbij zijn de artikelen 1 tot en met 4 aan de
orde gekomen. De Nederlandse delegatie heeft herinnerd aan het
parlementair voorbehoud bij de ontwerprichtlijn. Verder heeft de
Nederlandse delegatie voorgesteld om artikel 1, vijfde lid, van het huidige
kaderbesluit dataprotectie (kaderbesluit 2008/977/JBZ van de Raad van
27 november 2008 over de bescherming van persoonsgegevens die
worden verwerkt in het kader van de politiële en justitiële samenwerking
in strafzaken) op te nemen in artikel 1 van de ontwerprichtlijn, omdat deze

Tweede Kamer, vergaderjaar 2011–2012, 32 761, nr. 34

8

bepaling in heldere bewoordingen voorziet in de mogelijkheid om op
nationaal niveau strengere regels toe te passen dan die welke zijn vereist
op basis van de ontwerprichtlijn. Daarnaast heeft de Nederlandse
delegatie erop gewezen dat de ontwerprichtlijn, anders dan het huidige
kaderbesluit dataprotectie, niet voorziet in specifieke regels over de
doelbinding bij de verstrekking van persoonsgegevens aan andere
lidstaten. Deze verruimde doelbinding is omgezet in de Nederlandse weten regelgeving die onlangs, op 1 april 2012, in werking is getreden (Stb.
2011, 490). De Nederlandse delegatie heeft het voorzitterschap verzocht
de desbetreffende regeling van artikel 11 van het kaderbesluit dataprotectie op te nemen in de ontwerprichtlijn.
Het Voorzitterschap heeft aangegeven dat het verder aan het Cypriotische
voorzitterschap is om de verdere behandeling van de ontwerprichtlijn te
bepalen.
Informele lunchbijeenkomst JBZ Raad 7 en 8 juni 2012
Op een lunchbijeenkomst van de JBZ Raad van 7 en 8 juni 2012 is
informeel van gedachten gewisseld over enkele aspecten van verordening
en richtlijn, zonder dat besluitvorming werd beoogd.
Wat de verordening betreft heeft Nederland aangegeven geen bezwaar te
zien in toepassing van dezelfde regels van gegevensbeschermingsrecht
op publieke en private sector, maar dat er zeker reden is om aandacht te
vragen voor de eigen plaats van de overheid in de samenleving. Die
plaats vergt dat voor de overheid op onderdelen afwijkende bepalingen
moeten blijven gelden. Daartegenover staat dat de overheid op veel meer
manieren verantwoording aflegt dan de private sector. Ook blijft het nodig
verder na te denken over de verhouding tussen de verordening en het
geldend en toekomstig nationaal recht. In lijn met het BNC-fiche dat aan
uw Kamer is gezonden is aandacht gevestigd op het gebrek aan
evenwicht in rechten en verplichtingen bij de behandeling van de positie
van de overheid, het bedrijfsleven en de burger die voor doeleinden
buiten de strikt persoonlijke en huishoudelijke sfeer gegevens verwerkt.
Voor wat betreft de ontwerprichtlijn heeft Nederland, in lijn met het
BNC-fiche, aangegeven voorstander te zijn van een ruime reikwijdte van
de onderwerprichtlijn. De keuze voor een onderscheid tussen geen
Europese regels voor persoonsgegevens die uitsluitend op nationaal
niveau worden verwerkt en Europese regels voor gegevens die tussen de
lidstaten worden uitgewisseld is tamelijk theoretisch, omdat het tevoren
niet duidelijk is of in de loop van een onderzoek persoonsgegevens met
andere lidstaten uitgewisseld zullen gaan worden. In de loop van het
opsporingsonderzoek kan de behoefte blijken om gegevens uit te wisselen
met de opsporingsdiensten van de andere lidstaten. Dan kan beter één en
hetzelfde regime worden toegepast voor alle persoonsgegevens die door
politie en justitie worden verwerkt. Bij de implementatie heeft Nederland
er dan ook voor gekozen de regels van het kaderbesluit toe te passen op
alle persoonsgegevens die worden verwerkt ten behoeve van de
opsporing en vervolging van strafbare feiten, dus zowel op de persoonsgegevens die uitsluitend op nationaal niveau worden verwerkt als de
persoonsgegevens die aan een andere lidstaat worden verstrekt. Dit biedt
duidelijkheid voor de opsporingsdiensten en versterkt de rechten van
burgers.
Overige punten
In het algemeen overleg van 7 maart 2012 is door uw Kamer verzocht
afzonderlijk aandacht te schenken aan het verloop van de onderhandelingen over de artikelen 23 (collectiefactierecht), 40 tot en met 45
(grensoverschrijdende gegevensverstrekking), 53 (bevoegdheden

Tweede Kamer, vergaderjaar 2011–2012, 32 761, nr. 34

9

toezichthouders), 79 (bestuurlijke boetes) en 86 (delegatie bevoegdheden
aan de Europese Commissie.
Geen van deze artikelen is tot dusverre al geagendeerd. De artikelen zijn
daarom ook nog niet besproken. Wel is bij de behandeling van de
artikelen 6 en 8 de daarin opgenomen delegatiegrondslag aan de orde
gesteld. Nederland heeft zich op het standpunt gesteld dat artikel 6, eerste
lid, onder f, van de verordening nu juist bij uitstek zal moeten ingevuld
door de verantwoordelijke, en niet door de wetgever. De rechtvaardigingsgrond «gerechtvaardigd belang van de verantwoordelijke» (of een derde)
zal immers met het oog op de doelstellingen in een concreet geval
moeten worden vastgesteld. Rekening houdend met het in beginsel
onbegrensde aantal verwerkingen dat denkbaar is, acht ik het moeilijk
voorstelbaar dat die rechtvaardigingsgrond in een gedelegeerde
handeling bevredigend kan worden ingevuld. Ten aanzien van de
delegatiegrond in artikel 8 is Nederland van mening dat eerst moet
worden nagegaan of er voldoende betrouwbare methoden bestaan om op
internet op betrouwbare wijze leeftijdsgrenzen en ouderlijke toestemming
te verifiëren, voordat er voldoende reden is een en ander nader te
reguleren. Als die methoden beschikbaar zijn, verdient regeling in de
verordening de voorkeur. Nederland is verder van oordeel dat wanneer
het al tot een gedelegeerde handeling moet komen, niet de omvang van
het bedrijf of de instelling, maar het concrete risico maatstaf moet zijn bij
het opleggen van rechten en verplichtingen.
Ik ben in de bijlage bij mijn brief van 14 juni 2012, nr. 272863, overigens
uitgereid ingegaan op de vragen van uw Kamer op het collectiefactierecht
en de grensoverschrijdende aspecten van gegevensverwerking.
In het algemeen overleg van 7 maart 2012 is door uw Kamer nadere
informatie gevraagd over de consequenties van de verordening in termen
van administratieve lasten en nalevingskosten met bijzondere aandacht
voor de consequenties van de verplichting tot het opstellen van Privacy
Impact Assessments en de implementatie van Privacy by Design.
Ik heb in Brussel op verschillende niveaus nadrukkelijk aandacht gevraagd
voor de noodzaak een beter en meer gedetailleerde onderbouwing te
ontvangen van de Commissie waar het betreft de maatschappelijke kosten
van de verordening. Met uw Kamer acht ik die onderbouwing nodig met
het oog op de maatschappelijke overtuigingskracht van de verordening. Ik
blijf van oordeel dat het primair op de weg ligt van de Commissie die
onderbouwing te verstrekken.
De staatssecretaris van Veiligheid en Justitie,
F. Teeven

Tweede Kamer, vergaderjaar 2011–2012, 32 761, nr. 34

10