Dit wetsvoorstel strekt tot goedkeuring van de op 30 juni 2008 te Brussel tot stand gekomen Overeenkomst tussen de Europese Unie en Australië inzake de verwerking en doorgifte van persoonsgegevens van passagiers (PNR) uit de Europese Unie door luchtvaartmaatschappijen aan de Australische douane (Trb. 2008, 170) (hierna: de Overeenkomst).
Van elke passagier die een vlucht reserveert, worden in de boekingssystemen van de luchtvaartmaatschappij standaard een aantal vaste en variabele gegevens verwerkt. Die gegevens betreffen uiteraard altijd naam, voornaam en geslacht van de passagier, vluchtgegevens (routes en vluchtnummers, data en tijdstippen van vertrek en aankomst), hoe de reservering is gemaakt (rechtstreeks of via een intermediair), wanneer de reservering is gemaakt en eventueel tussentijds is aangepast. Daarnaast worden, afhankelijk van opgave door de passagier, ook gegevens verwerkt als de wijze van betaling, gewenst stoelnummer, bijzondere maaltijdwensen of eventuele andere wensen. Ook wordt achteraf bijgehouden of de passagier daadwerkelijk met het gereserveerde vliegtuig is vertrokken. Daarnaast worden door Australië zogeheten APP (Advanced Passenger Processing) data verzameld, die ontleend zijn aan het paspoort van de passagier. Deze gegevens worden in deze memorie aangeduid als passagiersgegevens.
Australië gebruikt de APP-gegevens ten behoeve van de vooraanmelding die reizigers naar dat land sinds 2000 zelf moeten doen. Zij dienen elektronisch een ETA (Electronic Travel Authority) Application Form in te vullen. De Australische overheid beslist op grond daarvan of de reiziger wel of geen toelating tot het land krijgt. De APP-gegevens worden bij het inchecken benut door de luchtvaartmaatschappij om te bezien of de Australische overheid bezwaar heeft tegen toelating van een reiziger tot het land. Indien dit zo is, verstrekt de luchtvaartmaatschappij geen instapkaart.
Na de gebeurtenissen op 11 september 2001 is bij veel overheden het besef gerezen dat de analyse van passagiersgegevens die door luchtvaartmaatschappijen worden verwerkt een belangrijke aanvulling kan vormen op de eigen informatiebronnen. Met behulp van deze gecombineerde gegevensverwerking kunnen overheden een betere inzage verkrijgen in het verplaatsingsgedrag van verdachten van terroristische misdrijven of verdachten van ernstige grensoverschrijdende misdrijven van commune aard. Ook kan een bijdrage worden geleverd aan de opsporing van voortvluchtige veroordeelden en versterking van de grensbewaking.
De Verenigde Staten zijn met deze ontwikkeling begonnen. Verwezen zij naar de op 26 juli 2007 te Washington tot stand gekomen Overeenkomst tussen de Europese Unie en de Verenigde Staten van Amerika inzake de verwerking en overdracht van persoonsgegevens van passagiers (PNR-gegevens) door luchtvaartmaatschappijen aan het Ministerie van Binnenlandse Veiligheid van de Verenigde Staten van Amerika (PNR-Overeenkomst 2007), met briefwisseling en verklaring (Trb. 2007, 129) (hierna: de PNR-Overeenkomst 2007). Dit verdrag is inmiddels ter goedkeuring voorgelegd aan de Tweede Kamer der Staten-Generaal (Kamerstukken II 2008/09, 31 735, nrs. 1–3). Australië heeft het Amerikaanse voorbeeld gevolgd. Het lijdt weinig twijfel dat andere landen zullen volgen.
Ook Europa staat bij deze ontwikkeling niet langs de kant. De Europese Commissie heeft inmiddels een voorstel ingediend voor een kaderbesluit van de Raad over het gebruik van persoonsgegevens van passagiers (PNR-gegevens) voor wetshandhavingsdoeleinden (COM (2007) 654 def.). Ook de Nederlandse regering is en blijft er van overtuigd dat vergaring en analyse van passagiersgegevens een belangrijke bijdrage kan leveren aan de strijd tegen het terrorisme en andere vormen van ernstige grensoverschrijdende criminaliteit. Nederland steunt dit initiatief dan ook.
Passagiersgegevens worden verwerkt door luchtvaartmaatschappijen. Deze ondernemingen waren niet verplicht PNR-gegevens zonder meer over te dragen aan de Australische overheid. Om de luchtvaartmaatschappijen een dergelijke verplichting op te leggen heeft de Australische wetgever in augustus 2002 de Border Security Legislation Amendment Act 2002vastgesteld. Section 64AF van de Customs Act 1901 (Cth) verplicht sindsdien alle luchtvaartmaatschappijen die vluchten met passagiers uitvoeren naar, van, of over het grondgebied van de Australië, zonder onderscheid naar plaats van vestiging van de maatschappij, om desgevraagd PNR-gegevens die zich in de reserveringssystemen bevinden, de DCS- (Departure Control System) en de APP-gegevens die zich in de vertrekcontrolesystemen bevinden met betrekking tot die vluchten over te dragen aan de Australian Customs Service (hierna: Australische douane). Het niet voldoen aan deze verplichting levert voor de luchtvaartmaatschappij het risico op van strafvervolging.
Voor de in de Europese Unie (EU) gevestigde luchtvaartmaatschappijen geldt echter dat de overdracht van passagiersgegevens aan de overheden van derde landen wel in overeenstemming moet zijn met het Europese recht. Richtlijn nr. 95/46/EG van het Europees Parlement en de Raad van de Europese Unie van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEG L 281) (hierna: de richtlijn) vormt daarvoor het primaire kader. Op grond van de richtlijn mogen persoonsgegevens alleen aan een derde land worden doorgegeven indien dat land een passend niveau van bescherming waarborgt voor die gegevens. Ten aanzien van Australië heeft de Europese Commissie tot dusverre geen beslissing als bedoeld in artikel 25, zesde lid, van de richtlijn genomen met betrekking tot het niveau van gegevensbescherming in dat land. Ook buiten het door de richtlijn beheerste terrein van gegevensbescherming, en dan met name op het terrein van de gegevensbescherming ten behoeve van de rechtshandhaving ontbreekt een afdoende grondslag voor de overdracht van gegevens naar dat land.
Deze situatie levert twee problemen op. Ten eerste worden de in de EU gevestigde luchtvaartmaatschappijen daardoor blootgesteld aan conflicterende wettelijke maatregelen. Ten tweede staat niet vast dat er bij eventuele overdracht van passagiersgegevens een passend beschermingsniveau voor de gegevens verzekerd is.
Gegeven de Europeesrechtelijke achtergrond van deze problemen, kan de oplossing daarvan alleen op het niveau van de EU worden gevonden. De Unie heeft daartoe de onderhavige Overeenkomst met de Australische regering gesloten. Die Overeenkomst ligt thans ter goedkeuring voor.
3. Europese en Nederlandse maatregelen in het kader van terrorismebestrijding
In paragraaf 3 van de memorie van toelichting, behorende bij het voorstel van wet tot goedkeuring van de PNR-Overeenkomst 2007 (Kamerstukken II 2008/09, 31 735, nr. 3) is een overzicht gegeven van Europese en Nederlandse wettelijke en andere maatregelen in het kader van de terrorismebestrijding. Vergaring en analyse van passagiersgegevens past in de context van die maatregelen. De onderhavige Overeenkomst past ook in die context.
Ten aanzien van de Overeenkomst geldt dat deze in overeenstemming is met de door de Europese Commissie op 16 december 2003 vastgestelde mededeling van de Commissie aan de Raad en het Parlement «Doorgifte van passagiersgegevens (PNR-gegevens): een allesomvattende EU-aanpak» (COM (2003) 826 def.). Die mededeling is vastgesteld om de destijds door de Verenigde Staten geformuleerde eisen om toegang tot passagiersgegevens te kunnen beoordelen. Het kader is goed toepasbaar op de relaties tussen de EU en andere derde landen.
In die mededeling heeft de Commissie het standpunt ingenomen dat bij de doorgifte van passagiersgegevens met de volgende belangen rekening moet worden gehouden:
• de bestrijding van het terrorisme en de internationale misdaad;
• het recht op privacy en de bescherming van de fundamentele rechten van de burger;
• de noodzaak voor luchtvaartmaatschappijen om tegen aanvaardbare kosten aan de wettelijke eisen te kunnen voldoen;
• de ruimere relatie tussen de EU en het desbetreffende derde land;
• de veiligheid en het comfort voor de passagiers;
• de problemen in verband met de beveiliging van de grenzen;
• de echte internationale, wereldwijde omvang van deze problemen.
De meervoudige aanpak die de Europese Commissie voor ogen stond omvat de volgende hoofdelementen:
• een wettelijk kader voor de doorgifte van passagiersgegevens naar de Verenigde Staten, en wel in de vorm van een beschikking van de Commissie op grond van artikel 25, zesde lid, van de richtlijn in combinatie met een lichte bilaterale of internationale overeenkomst tussen de EU en de Verenigde Staten (of andere derde landen);
• volledige en juiste informatie van passagiers; passagiers zouden tevoren op de hoogte moeten worden gesteld van hetgeen er gaat gebeuren met de op hen betrekking hebbende gegevens, tegelijk zouden zij in staat moeten worden gesteld hun toestemming te verlenen voor de doorgifte daarvan;
• gebruik van de push methode in plaats van de pull methode bij de doorgifte van gegevens; het verdient de voorkeur om bij doorgifte de desbetreffende autoriteiten geen directe toegang tot de gegevens te verlenen, maar de sector zou de gegevens bij voorkeur zelf, met passende filters, moeten aanleveren;
• ontwikkeling van een EU-standpunt over het gebruik van passagiersgegevens;
• de ontwikkeling van een multilateraal kader voor de doorgifte van passagiersgegevens in ICAO-verband.
In de onderhavige Overeenkomst zijn de drie eerste elementen uitgewerkt, met dien verstande dat toepassing van artikel 25 van de richtlijn niet meer aan de orde is. Daarop wordt in paragraaf 4.2 van deze memorie ingegaan.
4. Totstandkomingsgeschiedenis en rechtsgrondslag van Overeenkomst en de goedkeuringswet
4.1 Totstandkomingsgeschiedenis
Australië heeft al sinds begin 2003 bij de Europese Commissie aangedrongen op het openen van onderhandelingen met het doel een verdragsrechtelijke oplossing te vinden voor de in paragraaf 2 van deze memorie uiteengezette problematiek rondom de verwerking en overdracht van passagiersgegevens. De Commissie stond op zichzelf genomen niet negatief tegenover dit verzoek, maar heeft het niet onmiddellijk willen inwilligen. De reden daarvoor was dat er toentertijd nog onvoldoende zicht was op het bereiken van een definitieve overeenkomst met de Verenigde Staten over de overdracht van passagiersgegevens. Het naderhand ontstane meningsverschil tussen het Europees Parlement enerzijds en de Commissie en de Raad van Ministers anderzijds over de juiste rechtsgrondslag voor de gegevensoverdracht naar de Verenigde Staten is ook van invloed geweest op de beslissing niet onmiddellijk onderhandelingen te openen.
Australië heeft steeds aangegeven groot belang te hechten aan de totstandkoming van een akkoord. Het primaire belang ligt aan Australische zijde uiteraard bij de rechtshandhaving. Er is echter een tweede belang. De grootste Australische luchtvaartmaatschappij, Qantas, beoogt in de loop van 2008 een nieuw reserveringssysteem in gebruik te nemen. Dit systeem wordt aangeboden door een dienstverlener, Amadeus, die zich in Frankfurt am Main, en dus in de EU bevindt. Dat betekent dat de passagiersgegevens van alle passagiers die bij Qantas reserveren worden verwerkt in de Europese Unie. Op die verwerking is de richtlijn van toepassing. Eenmaal in de Unie verwerkte gegevens kunnen dan alleen in overeenstemming met de richtlijn weer worden overgedragen naar derde landen, Australië inbegrepen. Hierboven is reeds aangegeven dat de rechtsgrondslag daarvoor ontbreekt. De Australische regering maakte zich zorgen over de gevolgen van deze situatie. Zonder akkoord zou de Australische regering worden geconfronteerd met een verlies van ongeveer een derde van thans beschikbare stroom aan passagiersgegevens. Bovendien zou de Australische regering dan gedwongen zijn de eigen luchtvaartmaatschappij sancties op te leggen.
Na de totstandkoming van het hierboven genoemde PNR-Overeenkomst 2007 met de Verenigde Staten heeft de Raad op voorstel van de Commissie, en gehoord de Europese Toezichthouder voor de Gegevensbescherming, uiteindelijk in februari 2008 besloten tot onderhandelingen over te gaan. De voorgenomen rechtsgrondslag voor een eventueel akkoord is bij deze besluitvorming nadrukkelijk betrokken.
Na de start van de onderhandelingen kon spoedig een akkoord worden bereikt. Dat was mede te danken aan een aantal omstandigheden. De transparante opstelling van Australische zijde waar het ging over de uiteindelijke bestemming en wijze van verwerking van de passagiersgegevens door de Australische douane gaven een bevredigend beeld van de uiteindelijke betekenis van het akkoord voor de Europese burger. De Australische gegevensbeschermings- en openbaarheidsregelgeving is daarnaast coherent en op onderdelen redelijk vergelijkbaar met die van de Europese Unie. Discussie ontstond eigenlijk alleen over de methode van gegevensoverdracht. Die discussie is voor de Unie bevredigend afgesloten.
In hoofdstuk 6 van deze memorie wordt op deze punten nader ingegaan.
De Overeenkomst is door de Raad van Ministers voor Justitie en Binnenlandse Zaken aanvaard op 30 juni 2008 (besluit nr. 2008/651/GBVB/JBZ van de Raad van de Europese Unie van 30 juni 2008 betreffende de ondertekening, namens de Europese Unie, van een overeenkomst tussen de Europese Unie en Australië inzake de verwerking en overdracht van persoonsgegevens van passagiers (PNR-gegevens) uit de Europese Unie door luchtvaartmaatschappijen aan de Australische douane (PbEU L 213).
4.2 Grondslag van de Overeenkomst
In zijn arrest van 30 mei 2006, met betrekking tot de gevoegde zaken C-317/04 en C-318/04 (Europees Parlement/Raad van de Europese Unie en Europees Parlement/Commissie), heeft het Hof van Justitie van de Europese Gemeenschappen overwogen dat het overdragen van persoonsgegevens aan het Bureau of Customs and Border Protection van de Verenigde Staten, ten behoeve van de doelen genoemd in de op 28 mei 2004 te Washington tot stand gekomen Overeenkomst tussen de Europese Unie en de Verenigde Staten van Amerika inzake de verwerking en overdracht van PNR-gegevens door op het grondgebied van de lidstaten van de Gemeenschap gevestigde luchtvaartmaatschappijen aan het Bureau of Customs and Border Protection van het Ministerie van Binnenlandse Veiligheid van de Verenigde Staten van Amerika (PbEU L 183, rectificatie PbEU 2005, L 255) moeten worden aangemerkt als een verwerking met betrekking tot de openbare veiligheid en de activiteiten van de staat op strafrechtelijk gebied. Het Hof heeft daaraan het oordeel gekoppeld dat de desbetreffende gegevensverwerking niet valt binnen de werkingssfeer van de richtlijn. Voorts oordeelde het Hof dat artikel 95 EG-Verdrag geen grondslag kon vormen voor de bevoegdheid van de Europese Gemeenschap de desbetreffende overeenkomst met de regering van de Verenigde Staten te sluiten.
De Raad van de Europese Unie heeft de daarop volgende overeenkomsten betreffende de overdracht van passagiersgegevens naar de Verenigde Staten gebaseerd op de artikelen 24 en 38 van het Verdrag betreffende de oprichting van de Europese Unie. Op grond van deze bepalingen, in onderlinge samenhang bezien, kan de Raad namens de Unie overeenkomsten sluiten met derde landen of internationale organisaties met betrekking tot de in titel VI van het EU Verdrag geregelde onderwerpen op het terrein van de politiële en justitiële samenwerking in strafzaken.
Ook voor de onderhavige Overeenkomst heeft de Raad zijn besluit gebaseerd op de artikelen 24 en 38 EU. (Zie bovenaangehaald besluit van de Raad nr. 2008/651/GBVB/JBZ) van 30 juni 2008.)
In dit verband is van belang er op te wijzen dat artikel 14 van de Overeenkomst uitdrukkelijk vastlegt dat de Overeenkomst niet afwijkt van de geldende regelgeving van de EU of de lidstaten en ook geen andere rechten of voordelen voor individuele natuurlijke of rechtspersonen schept dan die er uitdrukkelijk in zijn genoemd. De Overeenkomst bevat geen rechtstreeks werkende rechten of verplichtingen voor luchtvaartmaatschappijen.
4.3 Grondslag van de goedkeuringswet
Hoewel niet het Koninkrijk der Nederlanden, maar de EU partij is bij de Overeenkomst, wordt deze ter goedkeuring voorgelegd aan de Staten-Generaal. De reden hiervoor is dat de Overeenkomst verplichtingen bevat die Nederland en de Nederlandse luchtvaartmaatschappijen en hun passagiers rechtstreeks kunnen raken, ook al kunnen dezen zich er niet op beroepen tot staving van rechten.
Daarom is in de Raad met toepassing van artikel 24, vijfde lid, EU een verklaring afgelegd dat het Koninkrijk zijn grondwettelijke procedures voor de goedkeuring van verdragen moet doorlopen alvorens de Europese Unie kan aangeven dat het haar interne procedure, noodzakelijk voor de inwerkingtreding, heeft voltooid. Ook België, Tsjechië, Duitsland, Estland, Letland, Litouwen, Malta, Hongarije, Polen en Finland hebben een dergelijke verklaring afgelegd.
Met het voltooien van de goedkeuringsprocedure zal naar verwachting wel enige tijd zijn gemoeid. De verplichtingen voor luchtvaartmaatschappijen om passagiersgegevens aan de Australische douane over te dragen bestaat al sinds 2002 en wordt door Australië niet opgeschort om de afloop van de procedure af te wachten. Teneinde te voorkomen dat sprake zou zijn van gegevensoverdracht zonder behoorlijke rechtsgrondslag is in de artikelen 3 en 15 van de Overeenkomst, alsmede in een van de Overeenkomst deel uitmakende verklaring, bepaald dat deze voorlopig wordt toegepast vanaf de datum van ondertekening, zijnde 30 juni 2008. Bekendmaking van deze beslissing heeft plaatsgevonden bij brief van de Minister van Buitenlandse Zaken aan de voorzitter van de Tweede Kamer der Staten-Generaal van 28 augustus 2008 (Kamerstukken II 2007/08, 31 584, nr. 1).
4.5 Beoordeling van de Overeenkomst
Ondergetekenden zijn primair van oordeel dat de Overeenkomst een belangrijke bijdrage levert aan de mogelijkheden het terrorisme en andere vormen van ernstige criminaliteit te bestrijden en de veiligheid van het luchtverkeer te vergroten. Dit is niet alleen in het belang van Australië, maar ook in het belang van de Europese Unie en van Nederland.
De Overeenkomst is in zijn geheel van bindende aard. Daarnaast voorziet de Overeenkomst in een betrekkelijk lange looptijd, namelijk zeven jaar, gerekend vanaf de datum van ondertekening. Dat betekent dat er gedurende een langere termijn een behoorlijk mate van rechtszekerheid bestaat voor luchtvaartmaatschappijen en passagiers. Op het gebied van de bescherming van de persoonlijke levenssfeer biedt de Overeenkomst een voldoende helder beeld.
Passagiersgegevens zijn toegankelijk voor een aantal voldoende bepaalde doeleinden, en er wordt voorzien in een afdoende niveau van bescherming van bijzondere persoonsgegevens. Voor de wijze van overdracht van de gegevens wordt, na een overgangstermijn, een push systeem de norm, zodat de luchtvaartmaatschappij zelf zo veel mogelijk invloed heeft op de verwerking van persoonsgegevens door de Australische douane. Verder is verzekerd is dat EU-burgers in Australië zonodig een beroep kunnen doen op de daar geldende privacywetgeving om hun belangen te beschermen. Ondergetekenden wegen daarbij mee dat de Werkgroep als bedoeld in artikel 29 van de richtlijn in zijn advies nr. 1/2004 van 16 januari 2004 over het beschermingsniveau dat in Australië wordt gewaarborgd bij de doorgifte van PNR-gegevens van luchtvaartmaatschappijen (WP 85) heeft geoordeeld dat Australië een passend beschermingsniveau waarborgt in de zin van artikel 25, zesde lid, van de richtlijn. Hoewel daarbij moet worden bedacht dat inmiddels een andere rechtsgrondslag voor de overdracht van passagiersgegevens naar Australië wordt benut, en dat de Werkgroep zijn advies overigens onder een aantal voorwaarden heeft uitgebracht, heeft de in het advies opgenomen analyse van het Australisch privacyrecht nog weinig aan actualiteit ingeboet. Belangrijk is dat de werking van de Overeenkomst tijdig kan worden geëvalueerd. Alles afwegende zijn ondergetekenden zijn daarom van oordeel dat in artikel 3 van de Overeenkomst terecht is vastgesteld dat deze een passend niveau van gegevensbescherming biedt.
5. Advisering en bedrijfseffecten
Op Europees niveau is door de bevoegde instelling, de Raad, geen formeel advies gevraagd aan de hiervoor reeds genoemde artikel 29 Werkgroep. De Werkgroep adviseert formeel gezien alleen over onderwerpen die onder de eerste pijler van het EG-Verdrag vallen. De Werkgroep heeft niettemin bij brief van 3 oktober 2008 aan de Vice-Voorzitter van de Europese Commissie nog een oordeel gegeven over de Overeenkomst.1 De Werkgroep constateert in zijn brief, na vergelijking van de Overeenkomst met de PNR-Overeenkomst 2007 die met de Verenigde Staten is gesloten, de nodige verschillen en overeenkomsten. De Werkgroep is van oordeel dat veel van de verschillen zich in positieve zin onderscheiden waar het betreft het belang van de bescherming van persoonsgegevens. Zo is de Werkgroep positief over het opnemen van hetgeen onder «ernstig misdrijf» wordt verstaan, over de beperking in het aantal ontvangers van persoonsgegevens, over de toezichtsmogelijkheden van de Australische Privacy Commissioner, de verplichtingen tot informatiebeveiliging, de toegang tot de Australische rechtsbeschermingsmogelijkheden, de transparantieverplichtingen, de evaluatiebepaling, het opschortingsrecht en de regeling van de technische wijze van gegevensoverdracht.
Kritisch is de Werkgroep over de lengte van de bewaartermijn, de omvang van de gegevensuitvraag en de overdracht van bijzondere persoonsgegevens. Bij de desbetreffende onderdelen van hoofdstuk 6 van deze memorie wordt daarop ingegaan.
In overeenstemming met artikel 51, tweede lid, van de Wet bescherming persoonsgegevens is het wetsvoorstel voor advies voorgelegd aan het College bescherming persoonsgegevens (Cbp). Het Cbp heeft bij brief van 23 oktober 2008, nr. z2008–01125, advies uitgebracht aan de Minister van Justitie1.
Het Cbp oordeelt evenals de Werkgroep positief over de omschrijving van «ernstig misdrijf», de toezichtsmogelijkheden in Australië, de beperking van het aantal partijen aan wie de gegevens worden doorgegeven, de evaluatiemogelijkheden, de technische wijze van doorgifte en het opschortingsrecht. Bij een aantal van deze onderwerpen stelt het Cbp niettemin enkele vragen. Bij de desbetreffende onderdelen van hoofdstuk 6 van deze memorie wordt daarop ingegaan. Het Cbp deelt de kritiek die de Werkgroep heeft geuit over de lengte van de bewaartermijn, de omvang van de gegevensuitvraag en de overdracht van bijzondere persoonsgegevens. Bij de desbetreffende onderdelen van hoofdstuk 6 van deze memorie wordt daarop ingegaan. Hetzelfde geldt voor de kritische benadering van nut en noodzaak van de verzameling en gebruik van passagiersgegevens in algemene zin.
Werkgroep en Cbp vragen tenslotte beiden aandacht voor de omstandigheid dat er sprake is van diverse, soms aanzienlijke verschillen tussen de thans geldende overeenkomsten voor het gebruik van passagiersgegevens en bepleiten daarom een uniforme aanpak. Ondergetekenden hebben begrip voor dit aandachtspunt en zullen hiervoor in volgende gevallen in de daarvoor in aanmerking komende Europese overleg- en besluitvormingsorganen aandacht vragen. Toch wijzen ondergetekenden erop dat de verschillen tussen de diverse overeenkomsten verklaarbaar zijn. Onderhandelingsposities worden beïnvloed door omstandigheden van feitelijke en juridische aard die vaak eigen zijn aan de onderhandelingspartner van de Europese Unie. Daarbij moet gedacht worden aan de grootte van het land, de omvang van de passagiersstroom, het aantal betrokken luchtvaartmaatschappijen, de organisatie van de rechtshandhaving en het gegevensbeschermingsrecht van het desbetreffende land. Niet zelden zullen deze posities geheel of gedeeltelijk moeten worden aanvaard.
5.2 Effecten voor de luchtvaartindustrie
Met de luchtvaartindustrie is gesproken over de effecten van de Overeenkomst op de sector. Voornaamste uitkomst hiervan is de volgende. Vanuit Nederland worden door Nederlandse luchtvaartmaatschappijen geen rechtstreekse vluchten naar Australië uitgevoerd. Dat levert op dat de verplichting om de reeds door de luchtvaartmaatschappijen verwerkte passagiersgegevens over te dragen aan de Australische douane niet rust op, bijvoorbeeld, KLM. Wel is het zo dat die verplichting rust op de luchtvaartmaatschappijen die aansluitende vluchten verzorgen op de verbindingen die Nederlandse maatschappijen naar Aziatische bestemmingen onderhouden. Die luchtvaartmaatschappijen vallen echter buiten de reikwijdte van de Overeenkomst. De luchtvaartsector en de reissector in Nederland dienen hun reizigers wel behoorlijk in te lichten over de voorwaarden waaronder zij naar Australië reizen. Ingevolge artikel 33 van de Wet bescherming persoonsgegevens hebben deze partijen de verplichting aan hun cliënten mee te delen met welke doelen welke partijen op welke wijze hun persoonsgegevens verwerken. Die verplichting gold reeds. Zo bezien zijn de lasten van de Overeenkomst voor het Nederlands bedrijfsleven zeer beperkt. Een kwantificering is niet zinvol.
De Overeenkomst bestaat uit een elftal overwegingen, vijftien artikelen waarin de hoofdlijnen van de Overeenkomst zijn opgenomen en een bijlage, bestaande uit 27 punten en een lijst.
De overwegingen 6, 7 en 8 verdienen aandacht uit het oogpunt van bescherming van persoonsgegevens. Overweging 6 verwijst naar artikel 17 van het Internationaal Verdrag inzake Burgerrechten en Politieke Rechten (Trb. 1978, 177). De lidstaten van EU en Australië zijn alle partij bij dit verdrag. Genoemd artikel beschermt de burger tegen willekeurige of onwettige inmenging in zijn privé-leven.
Aangezien de EU zelf geen partij is bij voornoemd verdrag verwijst overweging 7 naar artikel 6, tweede lid, EU waarin de eerbiediging van de grondrechten is verzekerd die zijn opgenomen in het Europees Verdrag tot bescherming van de Rechten van de Mens en de fundamentele vrijheden (Trb. 1951, 154) (hierna: EVRM). Met name wordt in overweging 7 verwezen naar de uit dit verdrag afgeleide rechten op bescherming van het privé-leven en bescherming van persoonsgegevens. Het geheel geeft aan dat de EU, de lidstaten en Australië een gemeenschappelijke grondrechtelijke basis aanwijzen voor de inhoud van de Overeenkomst.
Overweging 8 noemt de belangrijkste bepalingen van intern Australisch recht op grond waarvan passagiersgegevens moeten worden geleverd en op grond waarvan de nodige rechten in verband met de omgang met deze gegevens door de Australische overheid kunnen worden uitgeoefend.
Artikel 5, eerste lid, van de Overeenkomst noemt de drie voornaamste doelen van gegevensverwerking. Het betreft: preventie en bestrijding van terrorisme en daarmee samenhangende misdrijven; preventie en bestrijding van ernstige misdrijven, waaronder georganiseerde misdaad, van grensoverschrijdende aard en het zich onttrekken aan gerechtelijke bevelen of hechtenis voor bovengenoemde misdrijven. Het tweede lid van artikel 5 maakt het mogelijk om passagiersgegevens te verwerken indien dat nodig is met het oog op de bescherming van vitale belangen van betrokkene of anderen, met name waar het betreft het risico op overlijden of ernstige verwonding van de betrokkene of anderen, of een aanzienlijk risico voor de volksgezondheid. Voor de beoordeling van dat risico verwijst het tweede lid naar internationaal erkende normen, bijvoorbeeld die vastgesteld door de Wereldgezondheidsorganisatie. Van belang is dat passagiersgegevens voor dit doel uitsluitend in afzonderlijke gevallen kunnen worden gebruikt.
Artikel 5, derde lid, van Overeenkomst noemt nog een derde doel. Passagiersgegevens kunnen ook worden gebruikt in afzonderlijke gevallen wanneer dit voortvloeit uit een aantal met name genoemde Australische wetten in de sfeer van de openbaarheid van bestuur, de bescherming van persoonsgegevens of daarmee verwante mensenrechten, het klachtrecht en de rekenkamercontrole, of wanneer de Australische rechter een daartoe strekkend bevel geeft. Het derde lid laat zich verklaren uit het uitgangspunt dat aan de Overeenkomst ten grondslag ligt dat deze geen afbreuk doet of wijziging beoogt aan te brengen aan bestaande wetgeving, noch in de EU, noch in Australië. Daarmee is natuurlijk niet uitgesloten dat de Australische wetgever nieuwe voorschriften vaststelt. Daarom bepaalt artikel 6 dat een verandering in wetgeving die rechtstreeks betrekking heeft op het gebruik van passagiersgegevens afkomstig uit de EU door de Australische douane wordt meegedeeld aan de EU. Indien verandering van wetgeving zou leiden tot een uitbreiding van de passagiersgegevens die worden verwerkt, heeft de EU het recht terzake een geschil aanhangig te maken met gebruikmaking van de in het verdrag opgenomen geschilbeslechtingsprocedure, dan wel de Overeenkomst te beëindigen.
Ondergetekenden zijn van oordeel dat de doeleinden van gegevensverwerking met deze opsomming voldoende zijn bepaald, ook als rekening wordt gehouden met de normen, neergelegd in het op 28 januari 1981 te Straatsburg tot stand gekomen Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 1988, 7) (hierna: Dataprotectieverdrag) en de richtlijn.
Alle artikelleden bevatten voorzieningen die tot doel hebben te voorkomen dat de doeleinden te zeer worden opgerekt. Artikel 1, onder j, van de Overeenkomst beperkt de term «ernstig misdrijf» tot handelingen waar een vrijheidsstraf van ten minste vier jaar voor is vastgesteld. Die maatstaf sluit goed aan bij artikel 67, eerste lid, onder a, van het Wetboek van Strafvordering. Daar is geregeld dat voorlopige hechtenis is toegelaten voor misdrijven waarop gevangenisstraf van ten minste vier jaar is gesteld. Voor artikel 6, tweede en derde lid, van de Overeenkomst geldt dat deze bepalingen alleen in afzonderlijke gevallen toepassing kunnen vinden. Voorts zijn de verwijzingen naar besluiten van de Wereldgezondheidsorganisatie en de Australische wetgeving in de context van de onderhavige Overeenkomst voldoende concreet.
6.3.1 Omvang gegevensverwerking
In artikel 1, onder e, en in punt 9 van de bijlage van de Overeenkomst is verduidelijkt op welke passagiersgegevens de overeenkomst betrekking heeft. Het betreft de 19 rubrieken die standaard zijn opgenomen in een Passenger Name Record, zoals dat kan worden aangemaakt in een reserveringssysteem van een luchtvaartmaatschappij door een passagier of reisbureau. Andere gegevens vallen niet onder de reikwijdte van de Overeenkomst.
Concreet heeft de Overeenkomst betrekking op de volgende limitatief omschreven categorieën van gegevens: de PNR-locatiecode; datum van boeking/afgifte van het biljet; geplande reisdatum of reisdata; naam/namen; beschikbare informatie betreffende frequent reizen en voordelen; andere namen in het PNR, waaronder het aantal reizigers in het PNR; alle beschikbare contactgegevens; alle beschikbare betalings- of factureringsinformatie (met uitzondering van creditcardgegevens); reisroute voor dit specifieke PNR; reisbureau/agent; informatie over gedeelde vluchtcodes; opgesplitste/opgedeelde informatie; reisstatus van de passagier; informatie over biljetuitgifte, waaronder het biljetnummer, biljetten voor enkele reizen en geautomatiseerde prijsnotering van reisbiljetten; alle bagage-informatie; zitplaatsinformatie, waaronder het zitplaatsnummer; algemene opmerkingen waaronder OSI-, SSI en SSR-informatie; eventuele APP- of API-informatie; alle vroegere wijzigingen onder de hiervoor aangeduide punten.
Onder OSI, SSI en SSR wordt verstaan: other service information, special service information, respectievelijk special service request. Het betreft hier bijzondere wensen van de passagier die extra aandacht behoeven, zoals maaltijdwensen, de omstandigheid dat iemand assistentie behoeft bij in- en uitstappen of een onbegeleide minderjarige passagier.
Onder APP- of API-informatie wordt verstaan: informatie afkomstig uit het advanced passenger processing of advanced passenger information system. Bij het inchecken worden de paspoortgegevens van een passagier door middel van lezing van de machineleesbare strook van het paspoort en de gegevens van instapkaart opgeslagen in het reserverings- en soms in het vertrekcontrolesysteem. Aantekening verdient dat deze faciliteit in de reserveringssystemen van de meeste en de belangrijkste Europese en Australische luchtvaartmaatschappijen niet wordt gebruikt.
De opsomming van de gegevens correspondeert vrijwel letterlijk met die opgenomen in de PNR-Overeenkomst 2007. Met nadruk zij er op gewezen dat in lang niet alle gevallen alle 19 rubrieken bij de luchtvaartmaatschappij bekend zijn. De passagier levert de desbetreffende gegevens zelf aan en is, afgezien van enkele essentialia, in een positie tot op zekere hoogte zelf te beslissen welke gegevens in een PNR worden opgenomen.
De Overeenkomst heeft uitsluitend betrekking op passagiersgegevens die afkomstig zijn uit de EU, zo volgt uit de artikelen 1, onder i, en 2 van de Overeenkomst. Over passagiersgegevens die niet uit de EU afkomstig zijn, kan de EU in ieder geval geen overeenkomst sluiten. Hoe dit begrip moet worden ingevuld is overigens niet geheel duidelijk. Een redelijke analoge uitleg van de richtlijn – die op de materie geregeld in deze overeenkomst weliswaar niet van toepassing is, maar waaraan wel een belangrijke reflexwerking toekomt – zou in elk geval met zich brengen dat de plaats van vestiging van de verantwoordelijke beslissend is voor beantwoording van de vraag of in een concreet geval sprake is van «gegevens uit de EU».
Ondergetekenden achten de omvang van de gegevensverwerking met deze omschrijving voldoende afgebakend.
De artikel 29 Werkgroep en het Cbp hebben in hun adviezen aangegeven dat de omvang van de gegevensstroom disproportioneel is in verhouding tot de, naar hun oordeel onvoldoende gerechtvaardigde doelen van gegevensverwerking. Bovendien menen zij dat ten onrechte de indruk wordt gewekt dat het maar 19 gegevens betreft, terwijl het er in werkelijkheid 34 zijn.
Ondergetekenden delen deze opvattingen niet. De verdragen over de overdracht van passagiersgegevens en de in voorbereiding zijnde EU-besluitvorming op hetzelfde gebied concentreren zich op een duidelijk afgebakende groep van categorieën van gegevens die voor een specifiek doelreservering van een vliegreis – in een voorgeschreven, internationaal min of meer geharmoniseerd format worden verzameld. Dit format bestaat uit 19 categorieën van gegevens. In theorie zou dit per reservering maximaal 34 gegevens kunnen bevatten. Ondergetekenden hebben daarover nimmer misverstand laten bestaan. In de praktijk wordt echter slechts een deel van de gegevenscategorieën ingevuld. De passagier heeft bovendien invloed op het aantal en de aard van de gegevens die hij verstrekt. Het ligt vervolgens niet zonder meer voor de hand om minder dan hetgeen is verstrekt te betrekken bij de gegevens die worden gevraagd of overgedragen. Dat vergt extra investeringen in ICT-voorzieningen aan de kant van de luchtvaart- en de reisbranche. De daaruit voortvloeiende nadelen – die bestaan uit de overdracht van gegevens die als bijzondere persoonsgegevens kunnen worden aangemerkt– moeten worden opgelost door het doen van investeringen aan de vragende kant. Dat is bij deze Overeenkomst ook het geval.
Gegevens verwerkt in het PNR die betrekking hebben op betaling en facturering moeten ook worden overgedragen. Dit brengt echter niet met zich mee dat in het vevolg op ruime schaal creditcard- en bankrekeningnummers aan de Australische douane worden overgedragen. Als gevolg van een initiatief van de Payment Card Industry worden creditcardnummers in de regel niet meer verwerkt in een PNR. Verder staan betalingshandelingen in de regel los van het reserveringsproces. Het gevolg daarvan is dat rekeningnummers in de regel ook niet worden verwerkt in een PNR. Doorgaans wordt slechts aantekening gehouden van de omstandigheid dat betaling per bank, contant of via een een reisbureau heeft plaatsgevonden.
6.3.2 Bijzondere persoonsgegevens
Bijzondere persoonsgegevens (gegevens betreffende godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, het seksuele leven of het lidmaatschap van een vakvereniging) zullen bij het reserveren van een luchtreis slechts in zeer uitzonderlijke gevallen rechtstreeks worden verwerkt. Gegevens betreffende de godsdienst of de gezondheid van een passagier kunnen echter worden afgeleid uit speciale maaltijdwensen of verzoeken om medische assistentie of rolstoelgebruik op de luchthaven. In punt 10 van de bijlage bij de Overeenkomst is geregeld dat dergelijke gegevens door de Australische douane uit de bestanden worden gehaald en zonder uitzondering worden gewist. Met deze duidelijke bepaling achten ondergetekenden het niveau voor de bescherming van bijzondere gegevens afdoende.
De artikel 29 Werkgroep en het Cbp menen dat het voorkeur verdient dat de bijzondere gegevens uit het format worden gefilterd voordat ze naar de Australische douane worden overgedragen. Ondergetekenden menen dat het resultaat – het niet verwerken van bijzondere persoonsgegevens – belangrijker is dan de wijze waarop dit resultaat wordt bereikt. Bovendien achten ondergetekenden het billijk dat de voor dit resultaat vereiste investeringen worden gedaan door de vragende partij, in dit geval de Australische overheid.
Indien uit de verzamelde passagiersgegevens analytische informatie wordt afgeleid, zal de Australische douane bevorderen dat de bevoegde Australische autoriteiten die informatie doorgeven aan de bevoegde politiële en justitiële autoriteiten van de betrokken lidstaten, alsmede in voorkomende gevallen aan Europol en Eurojust, aldus punt 27 van de bijlage bij de Overeenkomst. De Australische overheid heeft wel bedongen dat zij het recht heeft na te gaan of het gegevensbeschermingsrecht van de desbetreffende lidstaat of instelling adequaat is. Ondergetekenden achten deze bepaling van groot belang. Overdracht van analytische informatie stelt betrokken partijen in staat een oordeel te vormen over de effectiviteit van de gegevensoverdracht op grond van de Overeenkomst.
Het Cbp adviseert de term «analytische gegevens» nader te omschrijven en aan te geven op welke grondslag die gegevens kunnen worden overgedragen. De Overeenkomst spreekt in punt 27 van de bijlage van «analytische informatie», doch omschrijft deze term niet. Het ligt niet voor de hand een formele begripsomschrijving in een memorie van toelichting op te nemen, waar een verdrag nalaat die te geven. Wel kan worden opgemerkt dat het de bedoeling is van partijen om bij de uitleg van de term in ieder geval rekening te houden met de volgende elementen: a. dat onder «analytische informatie» persoonsgegevens mede kunnen worden begrepen, aangezien er wordt verwezen naar het recht dat Australië is toegekend om zich een oordeel te vormen over het gegevensbeschermingsrecht van de desbetreffende EU-lidstaat voorafgaand aan de verstrekking van analytische informatie, en b., dat uit het gebruik van de term «informatie» kan worden afgeleid dat er niet noodzakelijkerwijs een beperking bestaat tot persoonsgegevens.
Het zal van geval tot geval moeten worden vastgesteld welke aard deze informatie heeft en of de overdracht daarvan krachtens bijvoorbeeld rechtshulpverdragen moet of kan plaatsvinden en of op overgedragen gegevens in Nederland de Wet bescherming persoonsgegevens, de Wet politiegegevens of andere wetgeving van toepassing is.
6.4 Partijen aan wie passagiersgegevens mogen worden overgedragen
6.4.1 Gegevensoverdracht naar en tussen Australische overheidsinstanties
De passagiersgegevens worden verzameld door de Australische douane. Het is deze instantie die de gegevens in beginsel gebruikt en analyseert ten behoeve van de doeleinden, opgesomd in artikel 5, eerste lid, van de Overeenkomst. Onder een aantal voorwaarden, genoemd in de punten 2 tot en met 5 van de Overeenkomst kunnen deze gegevens door de Australische douane worden doorgegeven aan andere Australische overheidsdiensten die zelf taken uitvoeren die direct aan de doeleinden van de Overeenkomst zijn te relateren en die bovendien zijn opgenomen op een lijst, deel uitmakend van de bijlage. Het betreft de Australian Crime Commission, de Australian Federal Police, de Australian Security Intelligence Organisation, de Commonwealth Director of Public Prosecutions en het Department of Immigration and Citizenship. Deze lijst kan alleen bij diplomatieke notawisseling worden uitgebreid. Dit impliceert dat de EU en Australië daarover overeenstemming moeten bereiken.
Doorgifte van de gegevens (de Overeenkomst spreekt zelf van «openbaarmaking», met die term wordt niet gedoeld op openbaarmaking in de zin van de Nederlandse Wet openbaarheid van bestuur) tussen de diensten onderling is niet onbeperkt mogelijk. Het kan alleen in afzonderlijke gevallen. Er moet bovendien een specifiek schriftelijk verzoek aan ten grondslag liggen dat eerst door de Australische douane moet worden getoetst aan de punten 7 en 8 van de bijlage én de doeleinden van de Overeenkomst. Tenslotte rust op de Australische douane een protocolplicht. Alle doorgiften dienen in een register te worden opgenomen.
De voorwaarden van overdracht, genoemd in de punten 7 en 8 van de bijlage van de Overeenkomst hebben met name betrekking op de doelbinding bij verdere verwerking van gegevens, min of meer in lijn met artikel 6 van het Dataprotectieverdrag. De dienst die de gegevens ontvangt mag deze niet gebruiken voor een ander doel dan waarvoor ze zijn ontvangen. Verdere verwerking blijft bovendien onderworpen aan de toepasselijke doelbindingsbepalingen uit de interne Australische wetgeving, de Customs Administration Act 1985 (Cth) en de Privacy Act 1988 (Cth). De verdere verwerking in de vorm van secundaire doorgifte is alleen mogelijk wanneer de Australische douane daarvoor toestemming verleent. De criteria voor het verlenen van die toestemming zijn de gronden, genoemd in artikel 5 van de Overeenkomst. Er is één uitzondering op dit stelsel toegelaten. In geval van gevaar voor het leven of de fysieke veiligheid van betrokkene of derden laat de Overeenkomst toe dat kan wordt afgeweken van de normen die gelden voor de verwerking.
Bulkverstrekking aan de genoemde diensten ten behoeve van statistieken, analyses en trendbeoordelingen is alleen toelaten indien deze gegevens zijn geanonimiseerd. Punt 5 van de bijlage bevat een exacte opgave van alle gegevens uit een PNR die niet in bulk mogen worden overgedragen. Daaronder zijn in ieder geval alle gegevens begrepen die een betrokkene direct of indirect kunnen identificeren.
Ondergetekenden zijn van oordeel dat dit onderdeel van de Overeenkomst voldoende waarborgen biedt tegen een ongecontroleerd gebruik van gegevens binnen de Australische overheid. Met de in de Overeenkomst opgesomde instanties en wetten en de wijze waarop die opsommingen kunnen worden gewijzigd wordt voorkomen dat er een blanco doorgifterecht in het leven wordt geroepen.
6.4.2 Doorgifte naar derde landen
De Overeenkomst voorziet er in dat de Australische douane de verworven passagiersgegevens kan doorgeven aan de overheden van derde landen. Punt 6 van de bijlage bij de Overeenkomst regelt dat dit alleen mogelijk is ten aanzien van specifieke overheidsinstanties van derde landen waarvan de taken rechtstreeks verband houden met de doelstellingen van artikel 5, eerste lid, van de Overeenkomst. Die doorgifte geschiedt alleen in afzonderlijke gevallen, en indien nodig met het oog op de preventie of bestrijding van de misdrijven waarnaar artikel 5, eerste lid, van de Overeenkomst verwijst. De Australische douane heeft ook voor deze variant van doorgifte een protocolplicht.
Erkend moet worden dat dit onderdeel van de Overeenkomst minder concrete waarborgen biedt dan het in de vorige paragraaf besproken onderdeel. Deels valt dit te verklaren uit de omstandigheid dat de overheidsinstanties uit derde landen nu eenmaal moeilijk in de Overeenkomst kunnen worden opgesomd. Ondergetekenden zullen zich er voor inspannen dat in het kader van evaluaties van het akkoord bijzondere aandacht wordt besteed aan de toepassing van dit onderdeel van de Overeenkomst.
Onder omstandigheden is het mogelijk om in Australië door middel van een beroep op de Freedom of Information Act 1982 documenten die zich onder berusting van een Australische federale overheidsinstantie bevinden op te vragen. De desbetreffende wet voorziet in een weigeringsgrond, verband houdend met de privacy van een betrokkene, genoemd in het document dat onderwerp vormt van het beroep, aldus punt 22 van de bijlage bij de Overeenkomst. Die weigeringsgrond lijkt minder verstrekkend te zijn dan artikel 10, tweede lid, onder e, van de Nederlandse Wet openbaarheid van bestuur. Dit lijkt echter de restrictieve regeling van de in paragraaf 6.3.1 genoemde wetgeving (de Customs Administration Act 1985 (Cth) en de Privacy Act 1988 (Cth) niet te doorbreken. Zekerheid hierover kan niet worden gegeven. Op dit onderdeel is nadere aandacht in het kader van evaluatie van de Overeenkomst gewenst.
6.5 Rechten van de betrokkene, rechtsbescherming en transparantie in Australië
Een overeenkomst als de onderhavige is alleen aanvaardbaar wanneer het eindresultaat gebaseerd is op een behoorlijke afweging tussen de desbetreffende belangen. Het gaat daarbij om het belang van de preventie en bestrijding van terrorisme en andere vormen van ernstige grensoverschrijdende criminaliteit enerzijds en de belang van de bescherming van persoonsgegevens anderzijds. Die afweging komt tot uitdrukking in de overwegingen 1 tot en met 7 van de Overeenkomst. In het onderstaande wordt nader ingegaan op de onderdelen van de belangenafweging die betrekking hebben op de bescherming van persoonsgegevens.
6.5.2 Rechten van de betrokkene
Hoewel artikel 14 van de Overeenkomst regelt dat de Overeenkomst zelf geen rechten schept voor particulieren of instellingen, neemt dit niet weg dat de Australische wetgeving voorziet in de nodige waarborgen voor de bescherming van persoonsgegevens van passagiers. Krachtens de Australische Privacy Act 1988 (Cth) zijn de rechten van kennisname en correctie gewaarborgd ten aanzien van eenieder, ongeacht nationaliteit of land van verblijf, wiens persoonsgegevens worden verwerkt door de Australische (federale) overheid. In artikel 7, eerste lid, van de Overeenkomst is uitdrukkelijk geregeld dat de bescherming die de Privacy Act 1988 (Cth) terzake biedt zich ook uitstrekt tot passagiersgegevens in de zin van de Overeenkomst. In artikel 7, tweede lid, van de Overeenkomst is uitdrukkelijk vastgelegd dat de Australische douane ontvangen passagiersgegevens in overeenstemming met de geldende Australische wetgeving dient te verwerken. Artikel 14, eerste volzin, van de Overeenkomst bepaalt uitdrukkelijk dat de Overeenkomst niet tot doel heeft af te wijken van de geldende wetgeving in Australië, de Europese Unie of de lidstaten.
De Privacy Act 1988 (Cth) voorziet in onafhankelijk toezicht door de Australische Privacy Commissioner. Deze toezichthouder heeft de bevoegdheid een formeel onderzoek in te stellen aan de hand van klachten over vermeende ontoereikende naleving van de Privacy Act 1988 (Cth). Uit de desbetreffende wetgeving blijkt dat de toezichthouder de bevoegdheid heeft tot geven van bevelen gericht op correctie van gegevens, en het openbaarmaken van zijn oordeel. Onder omstandigheden kent de wet de mogelijkheid van schadevergoeding aan de benadeelde toe. In punt 21 van de bijlage bij de Overeenkomst is aangegeven dat de Australische douane een afzonderlijke regeling heeft getroffen met het kabinet van de Privacy Commissioner om de gegevensverwerking op grond van deze Overeenkomst aan een regelmatig audit te onderwerpen. Punt 24 van de bijlage vermeldt nog dat voor passagiers die zich wensen te beklagen over de behandeling door de Australische douane tijdens de grensprocedures het klachtrecht bij de Commonwealth Ombudsman openstaat.
6.5.3 Sanctionering van schendingen van het recht op bescherming van persoonsgegevens in Australië
Punt 26 van de bijlage bij de Overeenkomst bevat een opsomming van de Australische wetgeving die de administratieve, civiel- en straf- en tuchtrechtelijke sancties bevat voor schending van de privacywetten envoorschriften en de openbaarmaking van informatie zonder machtiging. In punt 26 is uitdrukkelijk vastgelegd dat de desbetreffende wetgeving het recht van elke betrokkene op toegang tot administratief of rechterlijk beroep open staat bij dergelijke schendingen.
6.5.4 Transparantie en informatieverplichtingen
Artikel 8 van Overeenkomst bepaalt dat de Australische douane zorgdraagt voor bekendmaking aan het publiek van de verwerking van de gegevens, de verantwoordelijke daarvoor, de doeleinden van gegevensverwerking, de maatregelen genomen ter bescherming van de persoonlijke levenssfeer, de wijze waarop en de mate waarin gegevens mogen worden verstrekt, de beschikbare beroepsprocedures en contactinformatie voor personen met vragen of bedenkingen. De Overeenkomst bevat geen verplichtingen voor luchtvaartmaatschappijen. Daartoe bestaat geen genoegzame grondslag. Niettemin zijn de luchtvaartmaatschappijen en reisorganisatoren die vluchten, respectievelijk reizen, vanuit Nederland naar Australië aanbieden verplicht krachtens artikel 33 van de Wet bescherming persoonsgegevens zelfstandig hun passagiers te informeren over de gegevensverwerking in Australië. Het Cbp wijst daar in zijn advies terecht op.
De bewaartermijn is geregeld in de punten 12 tot en met 15 van de bijlage bij de Overeenkomst. Hoofdregel is dat passagiersgegevens gedurende maximaal drie en een half jaar, gerekend vanaf de datum van ontvangst, door de Australische douane worden bewaard. Na afloop van die termijn kunnen de gegevens gedurende twee jaar worden gearchiveerd. Gearchiveerde gegevens hebben een andere status: die zijn alleen per geval en voor onderzoeksdoeleinden toegankelijk. Er bestaat geen archiveringsverplichting. Indien niet tot archivering wordt overgegaan zou dat inhouden dat de gegevens dan niet langer bewaard mogen worden dan drie en een half jaar. Dat staat overigens niet in de Overeenkomst. Er is slechts vastgelegd dat gegevens in geen geval langer worden bewaard dan vijf en een half jaar. Na afloop van die periode zal de Australische douane de gegevens wissen.
Op deze regeling is één uitzondering. Indien gegevens betrekking hebben op lopende gerechtelijke procedures of strafrechtelijke onderzoeken, kunnen de gegevens worden bewaard tot de procedure of het onderzoek is afgerond. Ondergetekenden achten de regeling van de bewaartermijn redelijk en evenwichtig. De bewaartermijn is niet bovenmatig en duidelijk begrensd. Bovendien laat de regeling geen onredelijke of onduidelijke uitzonderingen toe.
De artikel 29 Werkgroep en het Cbp achten deze bewaartermijn niet proportioneel in verhouding tot de doeleinden van gegevensverwerking. Het Cbp dringt aan op een nadere onderbouwing. Bij het overeenkomen van de bewaartermijn speelt een belangrijke rol dat nog veel ervaring moet worden opgedaan met verwerking en analyse van passagiersgegevens ten behoeve van rechtshandhavingsdoeleinden en de bruikbaarheid van dit instrument in verhouding tot andere instrumenten. Het is niet ongerechtvaardigd daarvoor een langere periode uit te trekken. Bovendien moeten daarvoor, te zijner tijd ook in de Europese Unie, aanzienlijke investeringen in ICT-voorzieningen worden gedaan. Tegen deze achtergrond achten ondergetekenden de overeengekomen termijn proportioneel.
6.7 Wijze van gegevensoverdracht
In de artikelen 1, onder f, en 4 van de Overeenkomst en punt 11 van de bijlage bij de Overeenkomst is de wijze van gegevensoverdracht geregeld. Dit punt heeft in de onderhandelingen de meeste aandacht van partijen gevraagd. De Australische overheid heeft lange tijd aangedrongen op een systeem waarbij de luchtvaartmaatschappijen niet alleen de passagiersgegevens eigener beweging – doch op vastgestelde momenten – aan de Australische douane moeten aanleveren, maar waarbij de Australische douane ook op basis van read only rechtstreeks langs geautomatiseerde weg toegang zou krijgen tot de bestanden met passagiersgegevens van individuele vluchten tot na het moment van vertrek. Australië beriep zich hierbij vooral op het opsporingsbelang. Persons of Interest zouden juist significant vaak op het laatste moment wijzigingen aanbrengen in hun gegevens. Het bleek echter dat dit systeem al in Australië is geïnstalleerd en dat veranderingen daarvan bezwaren zouden oproepen. De Europese Commissie en een aantal lidstaten, waaronder Nederland, hebben echter vastgehouden aan het uitgangspunt dat passagiersgegevens in het belang van de bescherming van persoonsgegevens uitsluitend met de push methode mogen worden overgedragen. Dit standpunt is gehonoreerd, zij het dat Australië een overgangstermijn van twee jaar wordt gegund om het thans gehanteerde systeem om te bouwen tot een systeem dat uitsluitend functioneert op basis van de push methode.
In artikel 4, tweede lid, van de Overeenkomst is geregeld dat gedurende de overgangstermijn de toegang van de Australische douane tot de door de luchtvaartmaatschappijen op basis van real time en on line toegang tot bestanden behouden blijft. De Australische douane slaat gedurende die periode alleen gegevens op die verband houden met onderzoek bij aankomst op de luchthaven of met een misdrijf dat is gepleegd. In reactie op het desbetreffende onderdeel van het advies van Cbp gaan ondergetekenden ervan uit dat de Europese Commissie bij gelegenheid van de periodieke evaluatie zal verifiëren of het push systeem op het tijdstip waarop de overgangsperiode verstrijkt is ingevoerd.
Na de overgangsperiode blijft alleen het push systeem bestaan. Dit houdt in dat de eerste doorgifte van passagiersgegevens 72 uur voorafgaand aan de vlucht naar Australië worden doorgegeven. In verband met mogelijk wijzigingen kan de Australische douane een groter aantal doorgiftes verlangen tot een maximum van vijf per vlucht. Bij specifieke dreigingen kan de douane per vlucht, meerdere vluchten of per route afzonderlijke doorgiftes verlangen.
Dit eindresultaat achten ondergetekenden evenwichtig. De bescherming van persoonsgegevens is gediend met een systeem dat de Australische douane geen onbeperkte toegang geeft tot persoonsgegevens die bij de luchtvaartmaatschappijen worden verwerkt.
Punt 25 van de bijlage bij de Overeenkomst bevat enige organisatorische en technische waarborgen die de Australische douane treft om de ontvangen persoonsgegevens te beveiligen. De toegang tot de gegevens blijft beperkt tot die ambtenaren die daartoe specifiek worden gemandateerd door de algemeen directeur van de Australische douane. Daarnaast zullen de ICT-voorzieningen die worden gebruikt voor de gegevensverwerking zodanig worden ingericht dat de verwerking van passagiersgegevens gescheiden plaatsvindt van andere systemen en netwerken. De verwerking zal verder plaatsvinden op een veilig en beperkt toegankelijk terrein in Australië, dus niet in een derde land. Voor het verkrijgen van toegang tot de gegevens zijn afzonderlijke inlogprocedures op meervoudige niveaus nodig.
6.9 Wederkerigheid van de Overeenkomst
Wederkerigheid van de Overeenkomst is uitgangspunt. Dat is voor beide partijen van belang. De Europese Commissie heeft op 12 november 2007 een voorstel voor een kaderbesluit van de Raad over het gebruik van persoonsgegevens van passagiers (PNR-gegevens) voor wetshandhavingsdoeleinden ingediend (COM (2007) 654 def.). Dit voorstel is thans voorwerp van overleg binnen de Raad. Het is in dit stadium van behandeling nog niet te zeggen hoe het kaderbesluit uiteindelijk zal komen te luiden. Om die reden is in artikel 11 van de onderhavige Overeenkomst bepaald dat herziening van de inhoud mogelijk is, en dat dit hoe dan ook zal gebeuren indien dit voortvloeit uit de uiteindelijke besluitvorming in de Europese Unie terzake. Australië heeft daarnaast de inspanningsverplichting op zich genomen de werking van een Europees systeem voor de bevraging van passagiersgegevens bij herziening van de Overeenkomst zo veel mogelijk te vergemakkelijken.
Het Cbp stelt zich in zijn advies op het standpunt dat de noodzaak voor de overdracht van passagiersgegevens aan de Australische douane noch in de Overeenkomst, noch in deze memorie voldoende is onderbouwd. Het Cbp acht in dat verband nut en noodzaak van de wederkerigheid ook niet aangetoond. Ondergetekenden delen dit oordeel niet. In de preambule van de Overeenkomst en in hoofdstuk 7 van deze memorie is naar het oordeel van ondergetekenden voldoende duidelijk aangegeven welke belangrijke functie de internationale gegevensoverdracht vervult in de preventie en bestrijding van terrorisme en grensoverschrijdende ernstige misdrijven en welke rechtvaardiging er is voor de hieruit voortvloeiende beperking van grondrechten. Dit belang wordt door Australië en de Europese Unie gezamenlijk onderkend. Ook de Unie is voornemens in bovengenoemd kaderbesluit met de onderhavige Overeenkomst vergelijkbare maatregelen te treffen.
Artikel 9 van de Overeenkomst voorziet in een periodieke gezamenlijke evaluatie van de uitvoering van de Overeenkomst. Bij die uitvoering worden de waarborgen voor gegevensbescherming en de beveiliging van de gegevens expliciet betrokken. De evaluatie wordt aan Europese zijde uitgevoerd door de Europese Commissie, aangevuld met vertegenwoordigers van zowel gegevensbeschermingsinstanties als rechtshandhavingsinstanties. De Overeenkomst laat het aan partijen over hoe de evaluaties precies zullen plaatsvinden. Over de frequentie van de evaluatie of de datum waarop de eerste evaluatie wordt gehouden zijn nog geen besluiten genomen.
6.11 Opschortingsrecht en geschilbeslechting
6.11.1 Opschortingsrecht, taak College bescherming persoonsgegevens
Artikel 12 van de Overeenkomst regelt dat de bevoegde autoriteiten van de lidstaten bestaande bevoegdheden kunnen gebruiken om gegevensstromen naar de Australische douane op te schorten teneinde personen bij de verwerking van hun persoonsgegevens te beschermen, indien zich – cumulatief – een drietal omstandigheden voordoen. Het moet zeer waarschijnlijk zijn dat niet aan de in de Overeenkomst voorziene normen voor gegevensbescherming wordt voldaan, er zijn gegronde redenen om aan te nemen dat de Australische douane niet tijdig passende maatregelen neemt of zal nemen om het desbetreffende probleem op te lossen en voortzetting van de doorgifte houdt een dreigend gevaar voor ernstige schade voor de betrokkene in.
Het artikel voorziet ook in een aparte procedure voor het inroepen van het opschortingsrecht. Die procedure waarborgt dat zowel de Australische douane als de andere lidstaten op de hoogte worden gesteld van het concrete geval en dat er voldoende tijd wordt ingeruimd om een oplossing mogelijk te maken. Ook de beëindiging van de uitoefening van het opschortingsrecht is aan bepaalde procedurele eisen gebonden. Als gevolg van de betrekkelijk zware inhoudelijke en procedurele eisen zal dit opschortingsrecht niet eenvoudig kunnen worden ingeroepen.
Het ligt voor de hand om het College bescherming persoonsgegevens aan te merken als bevoegde autoriteit in de zin van artikel 12 voor Nederland. Dit past in het systeem van de Wet bescherming persoonsgegevens (Wbp). De bedoeling van het opschortingsrecht is immers de bevordering van de bescherming van persoonsgegevens. Bovendien beschikt het college reeds nu over «bestaande bevoegdheden» om dit recht effectief te kunnen uitoefenen. Met behulp van de bevoegdheid tot het opleggen van een last onder bestuursdwang (artikel 65 Wbp) – en de daaraan verbonden bevoegdheid tot het opleggen van een last onder dwangsom – is het college in staat om opschorting van de in Nederland verrichte verwerkingen van persoonsgegevens, voor zover die bestaan in het doorgeven van persoonsgegevens aan de Australische douane, zonodig ook feitelijk af te dwingen. Ook opent artikel 52, eerste lid, Wbp reeds de mogelijkheid om het college te belasten met taken die uit verdragen voortvloeien.
Dit neemt niet weg dat een wettelijke voorziening moet worden getroffen om het opschortingsrecht te effectueren. In de gevallen waarin het college tot dusverre taken bij of krachtens verdrag kreeg opgedragen, voorzag het desbetreffende verdrag zelf in een procedure tot aanwijzing van het college (zie bijvoorbeeld de artikelen 13, tweede lid, en 27 van het Dataprotectieverdrag). De onderhavige Overeenkomst voorziet daarin niet.
Het ligt voor de hand de benodigde voorziening in dit wetsvoorstel en niet in de Wbp op te nemen. Immers, de voorziening strekt uitsluitend ten behoeve van de uitvoering van de Overeenkomst. De voorziening is opgenomen in artikel 2 van het wetsvoorstel omvat de aanwijzing van het Cbp als bevoegde autoriteit in de zin van artikel 12 van de Overeenkomst. Verder voorziet dat artikel in het gebruik van de bestuursdwangbevoegdheid ter effectuering van het opschortingsrecht. Die bevoegdheid kan zonder die voorziening alleen worden uitgeoefend om bij of krachtens de Wbp gestelde verplichtingen te handhaven.
Ondergetekenden stellen het op prijs dat het Cbp in zijn advies heeft aangegeven bereid te zijn deze taak uit te oefenen. Tot gevolgen voor de rijksbegroting zal deze – uiterst geringe – taakuitbreiding niet leiden. De eerste ondergetekende zal de door het Cbp verzochte audits van de Australische Privacy Commissioner aan het Cbp doen toekomen zodra deze beschikbaar zijn.
Artikel 10 voorziet er in dat eventuele geschillen tussen partijen over interpretatie, toepassing of uitvoering van de Overeenkomst wordt opgelost door raadpleging of onderhandeling en niet aan een derde partij of de rechter zullen worden voorgelegd.
6.12 Looptijd, wijziging en opzegging
De Overeenkomst heeft ingevolge artikel 13 een looptijd van zeven jaar, gerekend vanaf de datum van ondertekening. Verlenging van de Overeenkomst is mogelijk op basis van wederzijdse instemming. Opzegging voor het einde van de looptijd eveneens. Opzegging wordt geëffectueerd 90 dagen na de datum van kennisgeving van de ene aan de andere partij. Bij beëindiging van de Overeenkomst door tijdsverloop of opzegging geldt dat alle persoonsgegevens die op het moment waarop de beëindiging effectief wordt in het bezit zijn van de Australische douane wel overeenkomstig de voorwaarden van de Overeenkomst worden behandeld.
Wijziging en herziening van de Overeenkomst is mogelijk op grond van artikel 11. Een wijziging kan pas worden geëffectueerd wanneer de volledige procedure voor het sluiten van verdragen is gevolgd. Bijgevolg zal een wijziging ook de goedkeuring van de Staten-Generaal behoeven, tenzij de wijziging in kwestie geen verplichtingen betreft of bevat die Nederland en de Nederlandse luchtvaartmaatschappijen en hun passagiers rechtstreeks kunnen raken. Ditzelfde geldt voor wijzigingen van de bijlage bij de Overeenkomst. Herziening van de Overeenkomst, waaronder kennelijk een meer uitgebreide wijziging wordt verstaan, is in elk geval in twee gevallen mogelijk. Vier jaar na de datum van ondertekening kunnen partijen daartoe besluiten. Herziening is hoe dan ook aan de orde indien de EU besluit een verplichting tot het doorgeven van passagiersgegevens door luchtvaartmaatschappijen aan de bevoegde autoriteiten in de lidstaten in het leven te roepen.
7. De verhouding van de Overeenkomst tot het recht op bescherming van persoonsgegevens
Het doorgeven van passagiersgegevens door luchtvaartmaatschappijen vanuit Nederland naar Australië roept de vraag op hoe de Overeenkomst zich verhoudt tot het recht op bescherming van de persoonsgegevens. Dit recht vormt een onderdeel van het meer omvattende recht op eerbiediging van het privé-leven, neergelegd in artikel 8, eerste lid, EVRM en het recht op eerbiediging van de persoonlijke levenssfeer van artikel 10, eerste lid, van de Grondwet. In het onderstaande wordt achtereenvolgens in gegaan op de verhouding van de Overeenkomst tot artikel 8 van het EVRM, tot artikel 10, eerste lid, van de Grondwet, tot het Dataprotectieverdrag, tot de richtlijn en tenslotte tot de Wbp.
Artikel 8, eerste lid, EVRM beschermt het recht op respect voor het privé-leven. Dit recht is evenwel niet absoluut. Ingevolge het tweede lid van artikel 8 EVRM is een inmenging in de uitoefening van dit recht slechts gerechtvaardigd, wanneer de inmenging bij de wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen.
De eis dat de inmenging «bij de wet is voorzien» houdt in dat sprake is van een wettelijke basis, die basis voor de burger voldoende toegankelijk en voorzienbaar is. De wettelijke regeling dient bovendien afdoende waarborgen te bevatten teneinde willekeur en misbruik te vermijden. Een inmenging is noodzakelijk, wanneer sprake is van een dringende maatschappelijke behoefte (pressing social need) daartoe. Voorts dient te zijn voldaan aan de voorwaarde van proportionaliteit (er dient een redelijke verhouding te bestaan tussen de ernst van de inbreuk en de zwaarte van het belang dat met de inbreuk wordt gediend).
Toetsing aan deze eisen levert het volgende beeld op. De omstandigheid dat passagiersgegevens door een luchtvaartmaatschappij aan de Australische autoriteiten worden overgedragen kan, wanneer dit buiten toestemming van de betrokkene plaatsvindt, worden aangemerkt als een inmenging op het recht op respect voor het privé-leven.
Een dergelijke inmenging moet bij de wet zijn voorzien. Het is daartoe niet noodzakelijk dat deze in Nederland in een formeel-wettelijke regeling is neergelegd, al wordt aan die eis wel voldaan wanneer het onderhavige wetsvoorstel tot wet zal zijn verheven. Wat betreft de eis van toegankelijkheid, geldt dat de Overeenkomst is bekendgemaakt in de daarvoor aangewezen bekendmakingsbladen. Ook het onderhavige wetsvoorstel en de daarop betrekking hebbende stukken worden behoorlijk bekendgemaakt. Aan de eis van toegankelijkheid is dus voldaan.
Wat betreft de eis van voorzienbaarheid, geldt dat de Overeenkomst de betrokkene een voldoende duidelijk beeld geeft van de soorten gegevens die worden doorgegeven en de omstandigheden waaronder deze worden verwerkt. De Overeenkomst bevat weliswaar een aantal open formuleringen, echter ten aanzien van het voorzienbaarheidsvereiste dient te worden bedacht dat het Europees Hof voor de Rechten van de Mens (EHRM) heeft erkend dat het vrijwel ondoenlijk is voor ieder concreet geval de norm zo precies te formuleren dat deze geheel is toegesneden op het desbetreffende geval. Daarom is het onvermijdelijk dat het nationale recht een zekere discretionaire bevoegdheid overlaat aan de rechter of de uitvoerende macht (bijvoorbeeld EHRM, 25 maart 1983, Silver e.a. tegen het Verenigd Koninkrijk, Serie A-61). De Overeenkomst bevat bovendien de in paragraaf 6 van deze memorie uitgebreid behandelde waarborgen. Aan de eis dat die inmenging bij de wet is voorzien is daarmee voldaan.
Wat betreft het doel van de inmenging, geldt dat de Overeenkomst noodzakelijk is in het belang van de nationale veiligheid, het voorkomen van strafbare feiten en de bescherming van de rechten en vrijheden van anderen.
De noodzaak om op te treden tegen de dreiging van de zijde van terroristische en criminele groeperingen kan worden beschouwd als een pressing social need. De uitwisseling van informatie is een essentieel onderdeel van de bestrijding van terrorisme en grensoverschrijdende criminaliteit en het gebruik van passagiersgegevens is in dit verband een belangrijk instrument. Bij de eis dat de inmenging noodzakelijk moet zijn in een democratische samenleving, geldt voorts een eigen beoordelingsruimte voor de lidstaten. Volgens vaste rechtspraak van het EHRM (bijvoorbeeld EHRM 28 oktober 1994, Murray tegen het Verenigd Koninkrijk, appl. no. 14 310, NJ 1995, 509) komt aan staten ingeval van maatregelen die betrekking hebben op de nationale veiligheid een grotere beoordelingsmarge toe bij de beoordeling of sprake is van een redelijke verhouding tussen de ernst van de inbreuk op het in artikel 8 gegarandeerde recht en de zwaarte van het belang dat met de inbreuk wordt gediend. In dit verband is tevens van belang dat het EVRM een living instrument is, dat door het EHRM naar present day conditions wordt uitgelegd.
Daarnaast dient bedacht te worden dat ook (preventieve) maatregelen in de strijd tegen het terrorisme een zekere mensenrechtelijke status genieten. Het EHRM heeft in zijn jurisprudentie aanvaard dat staten op basis van artikel 2 van het EVRM verplicht zijn alle redelijke (preventieve) maatregelen te nemen teneinde het leven van hun ingezetenen tegen levensbedreigende situaties te beschermen (zie EHRM, 28 oktober 1998, Osman tegen het Verenigd Koninkrijk, Reports 1998, 3124). Een soortgelijke overweging is te vinden in de op 11 juli 2002 door het Comité van Ministers van de Raad van Europa aanvaarde Guidelines on human rights and the fight against terrorism.
Het bieden van veiligheid is een kerntaak van de overheid. Verschillende maatregelen die het belang van de veiligheid dienen maken echter een inbreuk op het recht op bescherming van de persoonlijke levenssfeer. Voor de bestrijding van vormen van criminaliteit, als terrorisme, waarbij geen enkel respect wordt getoond voor de integriteit van de persoon en het menselijk lichaam, is het juist omwille van het recht op bescherming van de persoonlijke levenssfeer noodzakelijk dat aan het recht op privacy niet onverkort kan worden vastgehouden. Gelet op de aldus omschreven vérstrekkende doeleinden, die de overheid verplicht is na te streven, zijn de maatregelen vervat in de Overeenkomst (in essentie: de overdracht van gegevens onder gelijktijdige vaststelling van een aantal waarborgen voor de bescherming van de persoonlijke levenssfeer) voldoende proportioneel.
Ondergetekenden zijn daarmee van oordeel dat de Overeenkomst voldoet aan de eisen, voortvloeiend uit artikel 8 EVRM.
7.2 Artikel 10, eerste lid, van de Grondwet
Veel van hetgeen in paragraaf 7.1 gesteld is ten aanzien van de verhouding van de Overeenkomst tot artikel 8 EVRM is toepasbaar op de verhouding van de Overeenkomst tot artikel 10, eerste lid, van de Grondwet. Voor zover de omstandigheid dat passagiersgegevens door een luchtvaartmaatschappij aan de Australische autoriteiten worden overgedragen zonodig buiten toestemming van de betrokkene plaatsvindt, moet die verstrekking worden aangemerkt als een inbreuk op het recht op eerbiediging van de persoonlijke levenssfeer. Ingevolge artikel 10, eerste lid, van de Grondwet is een beperking van dat recht slechts mogelijk bij of krachtens de wet.
Op grond van artikel 8, onder f, van de Wbp mogen persoonsgegevens slechts worden verwerkt indien de verwerking noodzakelijk is voor de behartiging van het gerechtvaardigd belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert.
Voor de verstrekking van passagiersgegevens aan de Australische autoriteiten geldt dat de twee zwaarwegende belangen, van, respectievelijk, een groep van verantwoordelijken en een derde in het geding zijn. De desbetreffende luchtvaartmaatschappijen hebben een evident zwaarwegend belang bij de doorgifte van passagiersgegevens aan Australië. Leveren zij deze niet, dan zijn zij in principe blootgesteld aan sanctiemaatregelen van Australische zijde. Daarnaast is er een zwaarwegend belang van Australië, en uiteindelijk ook de Europese Unie, om in het kader van de bestrijding van het terrorisme passagiersgegevens te ontvangen en te analyseren. Daartegenover staan de fundamentele rechten en vrijheden van betrokkene, waaronder in de eerste plaats het recht op bescherming van de persoonlijke levenssfeer. Ook hier geldt dat maatregelen die worden genomen ter bescherming tegen het terrorisme niet uitsluitend kunnen worden aangemerkt als inbreuken op fundamentele rechten, maar die rechten, en dan met name het recht op leven en het recht op veiligheid, ook beschermen. Dat dit gepaard gaat met een zekere beperking van het recht op bescherming van de persoonlijke levenssfeer is onder de geldende omstandigheden onvermijdelijk. De afweging die artikel 8, onder f, van de Wbp vergt, levert onder deze omstandigheden op dat de belangen van de desbetreffende verantwoordelijken en derden het zwaarst wegen. Daarmee is voldaan aan de eisen die voortvloeien uit artikel 10, eerste lid, van de Grondwet.
Artikel 6 van het Dataprotectieverdrag bevat een regeling met betrekking tot de verwerking van persoonsgegevens waaruit een godsdienstige of andere levensbeschouwing blijkt, alsmede persoonsgegevens welke betrekking hebben op de gezondheid. Artikel 9, tweede lid, van het Dataprotectieverdrag staat een uitzondering op het verbod deze gegevens te verwerken indien de wet van de verdragsluitende partij daarin voorziet en het een maatregel betreft die in een democratische samenleving noodzakelijk is ten behoeve van, onder meer, de veiligheid van de staat, de openbare veiligheid, de bestrijding van strafbare feiten, de bescherming van de betrokkene en van de rechten en vrijheden van anderen.
Uit vorenbedoelde verdragsbepalingen vloeit voort dat de wetgeving in Nederland die toestaat dat persoonsgegevens betreffende de godsdienst of levensbeschouwing kunnen worden verwerkt, behoort te voldoen aan de eisen van artikel 9, tweede lid, van het Dataprotectieverdrag. Een en ander is geregeld in artikel 23 van de Wbp. Deze bepaling maakt het mogelijk dergelijke gegevens te verwerken indien betrokkene daarvoor toestemming heeft gegeven, of wanneer dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald, of het Cbp daarvoor ontheffing heeft verleend.
Ingevolge artikel 2, eerste lid, van het op 8 november 2001 te Straatsburg totstandgekomen Aanvullend Protocol bij het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens inzake toezichthoudende autoriteiten en grensoverschrijdende verkeer van gegevens (Trb. 2003, 122) bepaalt elke Partij dat de doorgifte van persoonsgegevens naar een ontvanger die valt onder de rechtsmacht van een staat of organisatie die geen Partij is bij dat Verdrag uitsluitend kan plaatsvinden wanneer die staat of organisatie een passend niveau van bescherming waarborgt voor de beoogde gegevensoverdracht. Ingevolge het tweede lid van genoemd artikellid kan elke Partij de overdracht van persoonsgegevens toestaan in afwijking van het eerste lid indien: a. het nationale recht daarin voorziet vanwege de bijzondere belangen van de betrokkene, of rechtmatige prevalerende belangen, in het bijzonder belangrijke algemene belangen, of b. indien de houder die verantwoordelijk is voor de overdracht voorziet in waarborgen die met name kunnen voortvloeien uit contractuele bepalingen en deze voldoende worden geacht door de bevoegde autoriteiten overeenkomstig het nationale recht. Voor Nederland is dit Protocol in werking getreden op 1 januari 2005. Uit de toelichtende nota, ingediend door de regering met het oog op de goedkeuring van het Protocol (Kamerstukken I/II 2003/04, 29 580, nr. 2) blijkt dat in Nederland door de wetgever uitvoering is gegeven aan het Protocol door middel van vaststelling van de artikelen 76 en 77 van de Wbp.
Het Dataprotectieverdrag en het Protocol richten zich tot staten. Beide documenten bevatten geen bepalingen die verbindend zijn voor eenieder. Zij verplichten wel tot het vaststellen van de noodzakelijke met het verdragsrecht overeenkomende bepalingen van nationaal recht. Een toetsing van de Overeenkomst aan de normen van het Dataprotectieverdrag dient dus plaats te vinden door middel van een toetsing aan de artikelen 23, 76 en 77 van de Wbp.
In paragraaf 4.2 is reeds ingegaan op de uitspraak van het Hof van Justitie van de Europese Gemeenschappen over de rechtsgrondslag van de daar aangehaalde Overeenkomst van 2004. Het Hof overwoog dat artikel 95 EG, gelezen in samenhang met artikel 25 van de richtlijn geen grondslag konden vormen voor de Overeenkomst van 2004. De onderhavige Overeenkomst is dan ook gebaseerd op de artikelen 24 en 38 EU. Hieruit volgt dat de richtlijn rechtstreekse toepassing mist op hetgeen in de Overeenkomst is geregeld. Dit neemt echter niet weg dat aan de normen van de richtlijn nog wel een zekere reflexwerking kan worden toegekend, bijvoorbeeld bij de interpretatie van een begrip als «passend niveau van bescherming». Dit komt in het bijzonder tot uiting in artikel 3 van de Overeenkomst waarin partijen overeenkomen dat het in de Overeenkomst neergelegde niveau van gegevensbescherming als adequaat moet worden aangemerkt.
In artikel 14 van de Overeenkomst en in de aan het besluit tot ondertekening gehechte verklaring valt bovendien te lezen dat de Overeenkomst geen afwijking of wijziging van de wetgeving van de EU of haar lidstaten inhoudt. Een redelijke uitleg van die overweging en verklaring is dat de Overeenkomst geen afbreuk doet aan hetgeen in de eerste pijler tot stand is gebracht in de vorm van de richtlijn en de daarbij behorende implementatiewetgeving, dat de Overeenkomst daar naast staat en niet in de plaats treedt van de richtlijn.
7.5 De verhouding van de Overeenkomst tot de Wet bescherming persoonsgegevens
De Wbp bevat een algemene regeling met betrekking tot verwerking van persoonsgegevens. Doorgifte van passagiersgegevens door luchtvaartmaatschappijen aan de Australische autoriteiten valt aan te merken als een vorm van verwerking van persoonsgegevens waarop de wet het oog heeft. Beoordeeld zal dus moeten worden of, en indien dit zo is, in hoeverre deze wettelijke bepalingen nog betekenis hebben naast de Overeenkomst. Om die vragen te beantwoorden zal allereerst moeten worden ingegaan op het rechtskarakter van de Overeenkomst.
Uit meergenoemd arrest van het Hof van Justitie van de Europese Gemeenschappen van 30 mei 2006 kan, naar het oordeel van ondergetekenden in elk geval de duidelijke conclusie worden getrokken dat de gehele materie van de overdracht van passagiersgegevens ten behoeve van de rechtshandhaving geen zaak is van Gemeenschapsrecht (eerste pijler), maar dat deze wordt beheerst door het Unierecht (in dit geval: derde pijler).
Dit heeft tot gevolg gehad dat de EU zijn toevlucht heeft gezocht tot de artikelen 24 en 38 EU. De verhouding tussen de Overeenkomst en de Wbp wordt mede beheerst door artikel 94 van de Grondwet. Ingevolge deze bepaling vinden binnen het Koninkrijk geldende wettelijke voorschriften geen toepassing, indien deze toepassing niet verenigbaar is met eenieder verbindende bepalingen van verdragen en besluiten van volkenrechtelijke organisaties.
De Overeenkomst schept of verleent, blijkens artikel 14 geen rechten of voordelen voor enige andere particuliere of openbare persoon of entiteit dan de verdragsluitende partijen. Wat de Europese Unie betreft, deze dient, ingevolge artikel 2, tweede lid, van de Overeenkomst, er voor zorg te dragen dat de luchtvaartmaatschappijen niet van worden weerhouden te voldoen aan de Australische wetgeving betreffende de doorgifte van passagiersgegevens uit de EU aan de Australische douane.
De Europese Unie heeft voor de nakoming van deze verplichting niet gekozen om andere instrumenten dan de Overeenkomst in te zetten. Het komt er dan op neer dat de Unie via de bevoegde wetgevers van de lidstaten moet handelen om die verplichting na te komen. Nu daarmee de Nederlandse wetgever in beeld komt, leidt dit tot de conclusie dat de Overeenkomst niet kan worden aangemerkt als een verdrag dat eenieder verbindende bepalingen bevat.
Wat de opdracht aan de Nederlandse wetgever betreft, menen ondergetekende dat er ook bij deze Overeenkomst op zichzelf genomen geen noodzaak is om hetzij in de Wbp, hetzij in een andere wettelijke regeling uitdrukkelijk te regelen dat luchtvaartmaatschappijen ter uitvoering van de Overeenkomst verplicht zijn passagiersgegevens te leveren aan de Australische autoriteiten. De artikelen 8 en 23, eerste lid, van de Wbp vormen een afdoende grondslag voor de rechtvaardiging van de gegevensverstrekking. Op de betekenis van artikel 8, onder f, van de Wbp is in paragraaf 7.2 reeds ingegaan. Op de betekenis van artikel 23 van de Wbp is in paragraaf 7.3 reeds ingegaan. Voor zover er bij de verwerking van passagiersgegevens verwerking van bijzondere persoonsgegevens plaatsvindt, wordt het verwerkingsverbod van artikel 16 Wbp in vrijwel alle gevallen doorbroken door de uitdrukkelijke toestemming van de betrokkene daartoe (artikelen 13, eerste lid, onder a, en 23, onder a, Wbp). De in paragraaf 6.5.4 beschreven transparantiemaatregelen zijn hiervoor van bijzondere betekenis, aangezien deze de betrokkene in staat stellen zich bewust te worden van de draagwijdte van zijn toestemming. Het Cbp wijst er in zijn advies terecht op dat het niet verlenen van die toestemming in de meeste situaties praktisch gesproken moeilijk denkbaar is.
Voor het overige kan de luchtvaartmaatschappij zich beroepen op artikel 23, eerste lid, onder e, Wbp, aangezien de luchtvaartmaatschappij de gegevens in een zwaarwegend algemeen belang ter beschikking stelt, er in de Overeenkomst voldoende passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit overigens bij de wet is bepaald. De wettelijke grondslag daartoe ontbreekt thans evenwel, zodat daarin afzonderlijk moet worden voorzien. Die voorziening is opgenomen in het voorstel van wet houdende wijziging van de Wet bescherming persoonsgegevens in verband met de uitvoering van de op 26 juli 2007 te Washington tot stand gekomen Overeenkomst tussen de Europese Unie en de Verenigde Staten van Amerika inzake de verwerking en overdracht van persoonsgegevens van passagiers (PNR-gegevens) door luchtvaartmaatschappijen aan het Ministerie van Binnenlandse Veiligheid van de Verenigde Staten van Amerika (PNR-Overeenkomst 2007) met briefwisseling en verklaring (Trb. 2008, 129) (Kamerstukken II 2008/09, 31 734, nrs. 1–3).
In paragraaf 6.11.1 van deze memorie is reeds ingegaan op enkele bijzondere voorzieningen die getroffen moeten worden om het opschortingsrecht te kunnen effectueren.
Aparte aandacht verdient verder artikel 76 van de Wbp. Ingevolge artikel 76, eerste lid, van de Wbp worden persoonsgegevens die aan een verwerking worden onderworpen of die bestemd zijn om na hun doorgifte te worden verwerkt, slechts naar een land buiten de Europese Unie doorgegeven indien, onverminderd de naleving van de wet, dat land een passend beschermingsniveau waarborgt. Op grond van het tweede lid van deze bepaling wordt het passend karakter van het beschermingsniveau beoordeeld gelet op de omstandigheden die op de doorgifte van gegevens of op een categorie van gegevensdoorgiften van invloed zijn. In het bijzonder wordt rekening gehouden met de aard van de gegevens, met het doeleinde of de doeleinden en met de duur van de voorgenomen verwerking of verwerkingen, het land van herkomst en het land van eindbestemming, de algemene en sectoriële regels die in het betrokken derde land gelden, alsmede de regels van het beroepsleven en de veiligheidsmaatregelen die in die landen worden nageleefd.
Deze bepaling richt zich, blijkens de parlementaire geschiedenis, primair tot de verantwoordelijke (Kamerstukken II 1997/98, 25 892, nr. 3, blz. 193). Die zal dus moeten vaststellen of er sprake is van een passend beschermingsniveau.
Op grond van het thans nog geldende artikel 78, tweede lid, onder b, van de Wbp kan de Minister van Justitie bij regeling of bij beschikking bepalen dat een land buiten de Unie geacht wordt een passend beschermingsniveau te waarborgen, indien zulks voortvloeit uit een besluit van de Commissie van de Europese Gemeenschappen of de Raad van de Europese Unie. In het voorstel van wet, houdende wijziging van de Wet bescherming persoonsgegevens in verband met de vermindering van administratieve lasten en nalevingskosten, wijzigingen teneinde wetstechnische gebreken te herstellen en enige andere wijzigingen (Kamerstukken II 2008/09, 31 814, nr. 2) is voorzien in schrapping van deze bevoegdheid. Aangezien besluitvorming door de Europese Commissie of de Raad van de Europese Unie rechtstreekse werking heeft, is aanvullende besluitvorming door de Minister van Justitie een nodeloze herhaling van normen. Dat betekent dat de verantwoordelijke voor besluitvorming op grond van artikel 76 van de Wbp zich kan oriënteren op de Europese besluitvorming. Het meergenoemde besluit van de Raad van de Europese Unie nr. 2008/651/GBVB/JBZ van 30 juni 2008 stelt immers vast dat er sprake is van een passend beschermingsniveau.
De vaststelling van het passend beschermingsniveau conform de Overeenkomst derogeert overigens aan de vaststelling conform het Dataprotectieverdrag. Dit is gerechtvaardigd gelet op de specifieke doeleinden van de Overeenkomst, de daarbij betrokken partijen en de betrokken gegevens.
De Overeenkomst heeft betrekking op luchtvaartmaatschappijen die zich op het grondgebied van de Europese Unie bevinden en internationale passagiersvluchten van of naar de Australië uitvoeren. Om die reden zal, wat het Koninkrijk der Nederlanden betreft, de Overeenkomst uitsluitend voor Nederland gelden.