Nr. 3 MEMORIE VAN TOELICHTING

Met dit wetsvoorstel worden de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens aangepast. Dit houdt verband met de implementatie (uiterlijk op 27 november 2010) van het kaderbesluit 2008/977/JBZ van de Raad van de Europese Unie van 27 november 2008 over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken (PbEU L 350/60; hierna: het kaderbesluit dataprotectie of het kaderbesluit). Het kaderbesluit dataprotectie geeft regels over de verwerking van persoonsgegevens in het kader van de politiële en justitiële samenwerking in strafzaken.

Met het bij of krachtens de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens bepaalde wordt reeds op hoofdlijnen voldaan aan de verplichtingen van het kaderbesluit dataprotectie (zie paragraaf VIII). Dat ligt ook voor de hand omdat de Nederlandse wetgeving is gebaseerd op dezelfde beginselen en principes op het gebied van de bescherming van persoonsgegevens als die welke ten grondslag liggen aan de regels van het kaderbesluit. Niettemin zijn er op enkele onderdelen aanpassingen nodig van de Nederlandse wetgeving. Het betreft onder andere de waarborgen bij verdere verwerking van gegevens voor andere doelen, bij doorgifte van gegevens aan derde landen en het recht op kennisneming. In paragraaf IX wordt dit besproken.

Tevens wordt voorgesteld enkele andere wijzigingen in de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens aan te brengen, die zeer nauw samenhangen met de regels over de verwerking van persoonsgegevens in het kader van de politiële en justitiële samenwerking in strafzaken. Dit betreft de verstrekking van politiegegevens aan Europol, ter implementatie van het Besluit van de Raad 2009/371/JBZ van 6 april 2009 tot oprichting van de Europese politiedienst (Europol) en de verstrekking van politiegegevens aan Eurojust.

Mede namens mijn ambtgenoten van Binnenlandse Zaken en Koninkrijksrelaties en van Defensie, licht ik het wetsvoorstel ter implementatie van het kaderbesluit dataprotectie in deze memorie van toelichting toe.

Het kaderbesluit geeft regels over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken. De onderhandelingen over dit kaderbesluit, die in 2005 zijn aangevangen, hebben betrekkelijk veel tijd gekost. De Raad heeft zich tussentijds enkele malen gebogen over de reikwijdte van het kaderbesluit. Op dit aspect zal hieronder nog nader worden ingegaan.

In artikel 3 van het kaderbesluit is de doelbinding geregeld. Persoonsgegevens mogen alleen worden verzameld voor specifieke, uitdrukkelijke en rechtmatige doeleinden en alleen worden verwerkt voor het doel waarvoor zij zijn verzameld. De verwerking van gegevens moet rechtmatig, adequaat, terzake dienen en niet excessief zijn in verhouding tot het doel waarvoor zij worden verzameld. Verdere verwerking voor een ander doel is toegestaan mits deze verwerking niet onverenigbaar is met het doel waarvoor de gegevens zijn verzameld, de bevoegde autoriteiten bevoegd zijn om die gegevens te verwerken en de verwerking noodzakelijk en proportioneel is.

De verwerking van persoonsgegevens over raciale of etnische afkomst, politieke opvattingen, godsdienstige of levensbeschouwelijke overtuiging, lidmaatschap van een vakvereniging of de gezondheid of het seksleven is uitsluitend geoorloofd wanneer dit strikt noodzakelijk is en in de nationale wetgeving adequate garanties worden gebonden (artikel 6).

Passende termijnen worden vastgesteld voor het wissen van persoonsgegevens of een periodieke toetsing op de noodzaak van opslag (artikel 5).

Persoonsgegevens moeten worden gecorrigeerd als ze niet correct zijn (artikel 4) en de bevoegde autoriteiten moeten ervoor zorgen dat persoonsgegevens die onjuist, onvolledig of niet actueel zijn, niet worden verstrekt of beschikbaar gesteld. Indien wordt vastgesteld dat onjuiste gegevens zijn verstrekt moet dit onmiddellijk aan de ontvanger worden medegedeeld. De gegevens moeten onmiddellijk worden gecorrigeerd, gewist of afgeschermd (artikel 8).

Iedere verstrekking van persoonsgegevens moet worden vastgelegd, ten behoeve op de rechtmatigheid van de gegevensverwerking (artikel 10).

In artikel 11 van het kaderbesluit zijn de doelen neergelegd met het oog waarop de gegevens, die van een andere lidstaat zijn verkregen, verder mogen worden verwerkt. De persoonsgegevens mogen alleen verder worden verwerkt voor de preventie, het onderzoek, de opsporing of de vervolging van andere strafbare feiten of de tenuitvoerlegging van andere straffen dan die waarvoor de gegevens waren verstrekt of beschikbaar gesteld. De gegevens mogen tevens verder worden verwerkt voor andere gerechtelijke of administratieve procedures die rechtstreeks verband houden met de preventie, het onderzoek, de opsporing of de vervolging terzake van strafbare feiten en de tenuitvoerlegging van straffen en voor de voorkoming van een onmiddellijke en ernstige bedreiging van de openbare veiligheid. Tenslotte is verdere verwerking voor een ander doel mogelijk na voorafgaande toestemming van de verstrekkende lidstaat of met instemming van de betrokkene. Indien in de verstrekkende lidstaat voor de uitwisseling van gegevens tussen de bevoegde autoriteiten specifieke beperkingen gelden, moeten die door de ontvanger in acht worden genomen (artikel 12).

De persoonsgegevens die van een andere lidstaat zijn verkregen, kunnen onder bepaalde voorwaarden worden doorgegeven aan derde landen of internationale organen. Essentieel is dat de doorgifte noodzakelijk is voor de preventie, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, dat de lidstaat waarvan de gegevens afkomstig zijn heeft ingestemd met de doorgifte en dat het betrokken derde land of internationale orgaan een toereikend niveau van gegevensbescherming waarborgt. Onder bepaalde omstandigheden kunnen gegevens worden doorgegeven zonder voorafgaande instemming of zonder dat sprake is van een toereikend beschermingsniveau (artikel 13).

De persoonsgegevens die van een andere lidstaat zijn verkregen kunnen onder bepaalde voorwaarden worden doorgegeven aan particuliere instanties. Vereist is dat de lidstaat waarvan de gegevens afkomstig zijn heeft ingestemd met de doorgifte, dat geen gerechtvaardigde belangen van de betrokkene zich tegen doorgifte verzetten en dat de doorgifte in bijzondere gevallen essentieel is voor bepaalde, nader omschreven doeleinden (artikel 14).

De betrokkene moet, overeenkomstig het nationale recht van de betreffende lidstaat, worden geïnformeerd over het verzamelen en verwerken van persoonsgegevens (artikel 16). De betrokkene heeft het recht op kennisneming van de gegevensverwerking, van de gegevens die op hem betrekking hebben en van de ontvangers van die gegevens (artikel 17). Het recht op kennisneming kan op bepaalde gronden worden geweigerd, de weigering wordt schriftelijk toegelicht en gemotiveerd. De betrokkene kan bij een rechterlijke instantie beroep aantekenen.

De betrokkene heeft tevens het recht op het corrigeren, wissen of afschermen van gegevens. Indien de verantwoordelijk dit weigert dan moet die weigering schriftelijk worden medegedeeld en kan betrokkene hiertegen beroep instellen bij de rechter (artikel 18).

De bevoegde autoriteiten dienen passende technische en organisatorische maatregelen te treffen om persoonsgegevens te beveiligen tegen alle vormen van onrechtmatige verwerking. Deze maatregelen zijn in het kaderbesluit uitgewerkt (artikel 22).

Het kaderbesluit dataprotectie is vastgesteld op grond van Titel VI van het VEU oud, dat tot 1 december 2009 van kracht was. De rechtsgrondslag op basis van de toenmalige derde pijler brengt met zich dat het kaderbesluit alleen van toepassing is op gegevens die door de bevoegde autoriteiten worden verzameld of verwerkt met het oog op preventie, onderzoek, opsporing en vervolging van strafbare feiten en de tenuitvoerlegging van straffen. Het toepassingsgebied van het kaderbesluit is beperkt tot de verwerking van persoonsgegevens die worden verstrekt of beschikbaar gesteld tussen de lidstaten. Omdat tevoren niet goed is vast te stellen in hoeverre politiële of justitiële gegevens die in een lidstaat worden verwerkt, vervolgens aan andere lidstaten verstrekt zullen worden, betekent dit in essentie dat het kaderbesluit van toepassing is op alle gegevens die in een lidstaat worden verzameld of verwerkt met het oog op preventie, onderzoek, opsporing en vervolging van strafbare feiten en de tenuitvoerlegging van straffen. Dit is dan ook het uitgangspunt voor de implementatie van de verplichtingen van het kaderbesluit in de Nederlandse wetgeving.

Het kaderbesluit is ook van toepassing op de gegevens die, met het oog op preventie, onderzoek, opsporing en vervolging van strafbare feiten en de tenuitvoerlegging van straffen, door de lidstaten worden verstrekt aan autoriteiten of informatiesystemen die op grond van Titel VI van het VEU oud zijn ingesteld. Dit betreft organisaties als Europol en Eurojust. Tenslotte is het kaderbesluit van toepassing op de gegevens die met dat doel door de vorenbedoelde autoriteiten of informatiesystemen aan de bevoegde autoriteiten van de lidstaten worden verstrekt.

Het kaderbesluit is niet van toepassing op de inlichtingen- en veiligheidsdiensten. De activiteiten van deze diensten vallen buiten de reikwijdte van het Verdrag betreffende de Europese Unie.

In verschillende rechtsinstrumenten op grond van VEU oud zijn specifieke bepalingen opgenomen over de bescherming van persoonsgegevens die op grond van die besluiten worden uitgewisseld of anderszins verwerkt. In sommige gevallen vormen die bepalingen een volledig en samenhangend pakket van regels, dat alle belangrijke aspecten van de gegevensbescherming bestrijkt (beginselen betreffende de gegevenskwaliteit, regels inzake gegevensbeveiliging, regeling van de rechten van en waarborgen voor de betrokkene, organisatie van het toezicht en de aansprakelijkheid). Dit betreft de volgende rechtsinstrumenten:

In het kaderbesluit dataprotectie is vastgelegd dat, voor zover de betreffende bepalingen van die besluiten meer beperkend zijn dan de overeenkomstige bepalingen van het kaderbesluit dataprotectie, de eerstgenoemde bepalingen onverlet worden gelaten (overweging no. 40). Voor alle andere aspecten moeten de in het kaderbesluit dataprotectie vastgelegde voorschriften worden toegepast.

Het kaderbesluit laat de bestaande bilaterale afspraken tussen de lidstaten en derde landen omtrent de doorgifte van gegevens die van een andere lidstaat zijn verkregen, onverlet (artikel 26). Voor toekomstige afspraken zal echter rekening moeten worden gehouden met dit kaderbesluit.

Bij de implementatie van het kaderbesluit dataprotectie is uitgegaan van een zoveel mogelijk extensieve werking van de regels van het kaderbesluit voor de verwerking en verstrekking van de persoonsgegevens die onder de reikwijdte van het kaderbesluit vallen. Hiermee wordt in de eerste plaats bedoeld dat de regels van het kaderbesluit ook gelden voor de gegevens die uitsluitend op nationaal niveau worden verwerkt. Dit betreft bijvoorbeeld het recht op kennisneming van de betrokkene. Voor de reikwijdte van dit recht zal het niet van belang zijn in hoeverre de gegevens daadwerkelijk aan de bevoegde autoriteit van een andere lidstaat zijn verstrekt. Zoals hiervoor is opgemerkt, is het namelijk tevoren niet in te schatten of politiegegevens of justitiële en strafvorderlijke gegevens in een later stadium aan de bevoegde autoriteit van een andere lidstaat verstrekt zullen worden. Beperking van de implementatie van het kaderbesluit tot de gegevens die daadwerkelijk uitgewisseld worden is dan wat gekunsteld en in de praktijk ook niet goed uitvoerbaar. Het kaderbesluit laat de lidstaten de ruimte tot deze wijze van implementeren; het bevat minimumnormen.

In de tweede plaats is bij de implementatie van het kaderbesluit zo weinig mogelijk onderscheid gemaakt tussen de verstrekking van gegevens binnen de Europese Unie en de verstrekking van gegevens aan landen buiten de Europese Unie. Essentiële elementen van het kaderbesluit, zoals de verplichting de kwaliteit van de gegevens te controleren voordat deze worden verstrekt en het vereiste van een toereikend beschermingsniveau voor de voorgenomen gegevensverwerking, gelden ook voor de gegevensverstrekking aan andere landen dan die van de Europese Unie. Dit is in het belang van zowel de rechtszekerheid van de betrokkenen als van een goede uitvoering van de voorschriften door politie en justitie. Het valt bijvoorbeeld niet goed in te zien waarom de doorgifte van gegevens door een andere lidstaat aan een derde land, die van een Nederlandse opsporings- of vervolgingsinstantie zijn verkregen, zou moeten voldoen aan het criterium van het toereikend beschermingsniveau, zoals het kaderbesluit voorschrijft, terwijl dat criterium niet van toepassing zou zijn op de rechtstreekse verstrekking van de betreffende gegevens aan dat derde land. Op dit punt ligt een algemene gelding in de rede. Ditzelfde geldt voor de verplichtingen tot controle van de te verstrekken en de ontvangen gegevens. Het zou vreemd zijn als een dergelijk voorschrift, dat uit het kaderbesluit voortvloeit, uitsluitend zou gelden voor gegevensverstrekkingen binnen de Unie. Overigens wordt dit nader uitgewerkt bij algemene maatregel van bestuur.

De Wet politiegegevens, die op 1 januari 2008 in werking is getreden (Staatsblad 2007, 300), geeft regels over de verwerking van persoonsgegevens met het oog op de uitvoering van de politietaak. Met het Besluit politiegegevens bijzondere opsporingsdiensten is de Wet politiegegevens volledig van toepassing op de verwerking van persoonsgegevens door de bijzondere opsporingsdiensten. De politietaak, als bedoeld in de artikelen 2 en 6 van de Politiewet 1993, omvat de opsporing van strafbare feiten, de handhaving van de openbare orde en de hulpverlening. Daaronder vallen regels over de verstrekking van politiegegevens aan buitenlandse opsporingsinstanties. Daarbij is voorzien in de mogelijkheid tot verstrekking van politiegegevens aan Europol en Interpol. Tevens is de verstrekking van politiegegevens geregeld die verband houdt met de samenwerking met een internationaal strafgerecht. Politiegegevens mogen alleen worden verstrekt als bij de ontvangende instantie voldoende waarborgen aanwezig zijn voor een juist gebruik van de verstrekte gegevens en voor de bescherming van de persoonlijke levenssfeer. In het Besluit politiegegevens worden nadere regels gesteld over de verstrekking en de te stellen voorwaarden aan het gebruik van de gegevens door de ontvangende politieautoriteiten (paragraaf 5). In de nadere uitwerking in dit besluit is rekening gehouden met de uitwisseling van politiegegevens tussen de lidstaten van de Europese Unie. Dit betreft in de eerste plaats de implementatie van het eerdergenoemde Zweeds kaderbesluit, tot vereenvoudiging van de gegevensuitwisseling tussen de lidstaten. Dit kaderbesluit gaat uit van het beginsel dat de lidstaten zullen waarborgen dat voor de verstrekking van informatie en criminele inlichtingen aan de bevoegde autoriteiten van de andere lidstaten geen striktere regels zullen gelden dan die welke op nationaal niveau van toepassing zijn (artikel 5:2 BPG). Dit betreft in de tweede plaats de implementatie van het eerdergenoemde Besluit van de Raad tot omzetting van het Verdrag van Prüm in een bindend rechtsinstrument voor de Europese Unie, dat voorziet in de verplichting voor de partijen om bepaalde categorieën gegevens ter beschikking te stellen voor geautomatiseerde raadpleging, onder meer door middel van de vergelijking van gegevens (art. 5:3 BPG). Deze rechtsinstrumenten zijn in paragraaf II aan de orde gekomen.

De Wet justitiële en strafvorderlijke gegevens (WJSG), die op 1 april 2004 in werking is getreden, geeft regels over de verwerking van justitiële gegevens en van strafvorderlijke gegevens. Justitiële gegevens zijn de in het Besluit justitiële gegevens omschreven gegevens inzake de toepassing van het strafrecht of de strafvordering (artikel 1, onderdeel a, WJSG). Strafvorderlijke gegevens zijn gegevens die zijn verkregen in het kader van een strafvorderlijk onderzoek en die het openbaar ministerie in een strafdossier of langs geautomatiseerde weg verwerkt (artikel 1, onderdeel b, WJSG).

In Titel 2 van de wet worden regels gegeven over de verwerking en het verstrekken van justitiële gegevens. Onze Minister van Justitie verwerkt in de justitiële documentatie justitiële gegevens ten behoeve van een goede strafrechtspleging (art. 2, eerste lid, WJSG). Ten behoeve van de rechtspleging worden justitiële gegevens verstrekt aan Nederlandse rechterlijke ambtenaren en rechterlijke ambtenaren van Aruba en de Nederlandse Antillen (artikel 8, eerste lid, WJSG). De verstrekking van justitiële gegevens aan het buitenland is nader geregeld in artikel 30a van het Besluit justitiële gegevens (BJG). Ter uitvoering van een op een verdrag gegrond verzoek kunnen justitiële gegevens door tussenkomst van de officier van justitie aan de bevoegde buitenlandse autoriteiten worden verstrekt ten behoeve van strafrechtelijke doeleinden (artikel 30a BJG).

In Titel 2A van de wet worden regels gesteld over de verwerking en het verstrekken van strafvorderlijke gegevens. Het College van procureurs-generaal is verantwoordelijke voor het verwerken van strafvorderlijke gegevens (artikel 39a, eerste lid, WJSG). Voor zover dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, kan het College van procureurs-generaal strafvorderlijke gegevens verstrekken aan Nederlandse rechterlijke ambtenaren, rechterlijke ambtenaren van Aruba en de Nederlandse Antillen en rechterlijke ambtenaren in het buitenland (artikel 39e, eerste lid, WJSG). Ook kunnen strafvorderlijke gegevens met het oog op een zwaarwegend algemeen belang worden verstrekt aan andere autoriteiten in het buitenland en instanties die ingevolge het internationaal recht een taak hebben in het kader van de strafrechtspleging (artikel 39e, eerste lid, onderdeel j, WJSG). Het College van procureurs-generaal is tevens bevoegd in de gevallen waarin strafvorderlijke gegevens kunnen worden verstrekt, justitiële gegevens door te verstrekken voor zover dit met het oog op een zwaarwegend algemeen belang noodzakelijk is (art. 8a, eerst lid, WJSG).

Het kaderbesluit dataprotectie voorziet in de mogelijkheid om persoonsgegevens, die door een andere lidstaat zijn verstrekt ten behoeve van de opsporing van strafbare feiten, verder te verwerken ten behoeve van de vervolging van dat strafbare feit of van andere strafbare feiten. Hiermee wordt de doelbinding, die aan de Nederlandse wetgeving ten grondslag ligt, verruimd. Uitgangspunt van de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens is dat politiegegevens of strafvorderlijke gegevens aan het buitenland kunnen worden verstrekt ten behoeve de opsporing van strafbare feiten respectievelijk de vervolging van strafbare feiten. De verdere verwerking voor een ander doel is dan afhankelijk van voorafgaande instemming (artikel 5:1, tweede lid, BPG). Op dit punt vormt het kaderbesluit een verruiming in vergelijking met de geldende regels. Deze verruiming sluit echter goed aan bij de behoeften van de praktijk. Ook voor de verwerking van politiegegevens of strafvorderlijke gegevens uitsluitend op nationaal niveau geldt dat de Wet politiegegevens voorziet in uitgebreide mogelijkheden voor de verdere verwerking van politiegegevens ten behoeve van de vervolging strafbare feiten. Ditzelfde geldt voor de Wet justitiële en strafvorderlijke gegevens voor de verdere verwerking van justitiële- of strafvorderlijke gegevens ten behoeve van de opsporing van strafbare feiten.

Met de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens, en de daarop gebaseerde besluiten, wordt grotendeels voldaan aan de verplichtingen van het kaderbesluit dataprotectie. Dat ligt ook voor de hand, omdat de Nederlandse wetgeving is gebaseerd op dezelfde beginselen en principes op het gebied van de bescherming van persoonsgegevens als die welke ten grondslag liggen aan de regels van het kaderbesluit.

Artikel 3 (Beginsel van rechtmatigheid, evenredigheid en doelbinding)

De WPG bevat een bepaling over de verwerking van politiegegevens voor de bij of krachtens deze wet geformuleerde doeleinden. De verwerking moet rechtmatig, toereikend, terzake dienend en niet bovenmatig zijn (artikel 3, eerste en tweede lid, WPG). Voor wat betreft de doelbinding bevat de WPG bepalingen over de verwerking van politiegegevens met het oog op doelen binnen de politietaak (artikelen 8, eerste lid, 9, eerste lid, 10, eerste lid, 12, eerste lid, en 13, eerste lid, WPG).

De WJSG koppelt de gegevensverwerking aan specifieke doelen op het gebied van de strafrechtspleging (artikelen 2, eerste lid, 39b eerste lid en 40, eerste lid, WJSG). De verwerking van strafvorderlijke gegevens dient, gelet op de doeleinden waarvoor zij worden verwerkt, toereikend, terzake dienend en niet bovenmatig te zijn (artikel 39c WJSG).

De WPG kent bepalingen over de verdere verwerking van politiegegevens voor andere doelen (artikelen 17 tot en met 22, WPG).

De WJSG kent eveneens bepalingen over de verdere verwerking van justitiële of strafvorderlijke gegevens voor andere doelen (artikelen 9, 13, 14, 15, 39e, 39f en 39g, WJSG).

Artikel 4 (Correctie, uitwissing en afscherming)

De WPG kent een bepaling over de verbetering, vernietiging of aanvulling van politiegegevens als blijkt dat deze onjuist of onvolledig zijn (artikel 4, eerste lid, WPG). Daarnaast kent de WPG een bepaling over de verbetering, aanvulling, verwijdering of afscherming van politiegegevens, op verzoek van de betrokkene (artikel 28, eerste lid, WPG).

De WJSG kent een bepaling over de verbetering, verwijdering, aanvulling of afscherming van persoonsgegevens als blijkt dat deze onjuist of onvolledig zijn (artikelen 3, 39c en 40, derde lid, WJSG). Daarnaast kent de WJSG een bepaling over verbetering, aanvulling, verwijdering of afscherming van persoonsgegevens, op verzoek van de betrokkene (artikel 22, eerste lid, 39m en 46, eerste lid, WJSG).

Artikel 5 (Vastlegging van termijnen voor wissen en toetsing)

De WPG kent termijnen voor het wissen van persoonsgegevens of een periodieke toetsing van de noodzaak van opslag ervan (artikelen 8, zesde lid, 9, vierde lid, 10 zesde lid, 12, zesde lid en 13, vierde lid, WPG).

Ditzelfde geldt voor de WJSG (artikelen 4, 5, 6, 39d en 41, WJSG).

Artikel 6 (Verwerking van bijzondere gegevenscategorieën)

Op grond van de WPG is de verwerking van gevoelige politiegegevens (godsdienst, levensovertuiging, seksuele leven e.d.) slechts toegestaan in aanvulling op de verwerking van andere politiegegevens en voor zover dit voor het doel van de verwerking onvermijdelijk is (artikel 5 WPG).

Artikel 7 (Geautomatiseerde individuele besluiten)

De WPG en de WJSG kennen geen bepalingen over een besluit dat voor de betrokkene een nadelig rechtsgevolg heeft en dat uitsluitend op een geautomatiseerde gegevensverwerking berust die bestemd is om bepaalde aspecten van zijn persoonlijkheid te beoordelen. Aan dergelijke bepalingen bestaat geen behoefte, omdat dit de verwerking van politiegegevens en justitiële en strafvorderlijke gegevens niet aan de orde is.

Artikel 8 (Controle van de kwaliteit van de verstrekte of beschikbaar gestelde gegevens)

De WPG en de WJSG kennen geen bepalingen over de controle van de te verstrekken of beschikbaar te stellen gegevens door de verstrekker of de mededeling van de ontvanger aan de verstrekker dat onjuiste gegevens zijn verstrekt. Hierin zal worden voorzien in het Besluit politiegegevens en het Besluit justitiële gegevens.

Artikel 9 (Termijnen)

De WPG en de WJSG kennen geen bepalingen over de mogelijkheid voor de verstrekkende autoriteit om termijnen aan te geven voor het bewaren van de verstrekte of beschikbaar gestelde gegevens door de ontvanger. Hierin zal worden voorzien in het Besluit politiegegevens en het Besluit justitiële gegevens.

Artikel 10 (Vastlegging en documentatie)

De WPG kent een bepaling over de vastlegging van gegevens over de verstrekking van politiegegevens (artikel 33, eerste lid, WPG).

In de WJSG is bepaald dat elke verstrekking van persoonsgegevens wordt vastgelegd en tenminste gedurende een jaar bewaard (artikelen 19, eerste lid, 39j, 44, eerste lid, WJSG).

Artikel 11 (Verwerking van persoonsgegevens die zijn ontvangen van of ter beschikking gesteld door een andere lidstaat)

De WPG bindt de verwerking van verstrekte politiegegevens aan de goede uitvoering van de politietaak in Nederland of in het desbetreffende land (artikel 17, derde lid, WPG). De WPG kent geen bepaling over de verdere verwerking van verstrekte politiegegevens voor andere doelen.

De WJSG bindt de verstrekking van justitiële gegevens aan het buitenland aan strafrechtelijke doeleinden (artikelen 8, zesde lid en 30a, BPG). De verstrekking van strafvorderlijke gegevens is mogelijk aan rechterlijke autoriteiten in het buitenland die een taak hebben in het kader van de strafrechtspleging (artikel 39e, eerste lid, onderdeel j, WJSG).

Artikel 12 (Naleving van nationale beperkingen op de verwerking)

De WPG en de WJSG kennen geen bepalingen over de mogelijkheid tot het melden van specifieke beperkingen op de verwerking van verstrekte gegevens, en de verplichting van de ontvanger om erop toe te zien dat deze beperkingen in acht worden genomen. Hierin zal worden voorzien in het Besluit politiegegevens en het Besluit justitiële gegevens.

Artikel 13 (Doorgifte aan bevoegde instanties in derde landen of aan internationale organen)

De WPG en de WJSG kennen geen bepalingen over de doorgifte van persoonsgegevens die door de bevoegde autoriteit van een andere lidstaat zijn verstrekt of beschikbaar gesteld, aan een derde land of internationaal orgaan. Hierin zal worden voorzien in het Besluit politiegegevens en het Besluit justitiële gegevens.

Artikel 14 (Doorgifte aan particuliere instanties in de lidstaten)

De WPG en de WJSG kennen geen bepalingen over de doorgifte van persoonsgegevens aan particuliere instanties in het buitenland. Hierin zal worden voorzien in het Besluit politiegegevens en het Besluit justitiële gegevens.

Artikel 15 (Het op verzoek informeren van de bevoegde autoriteit)

Het Besluit politiegegevens kent een bepaling over het op verzoek informeren van de bevoegde autoriteit (artikel 5:1, zevende lid, BPG). De WJSG kent een dergelijke bepaling niet. Hierin zal worden voorzien in het Besluit justitiële gegevens.

Artikel 16 (Informatie voor de betrokkene)

De WPG en de WJSG kennen geen verplichting tot het informeren van de betrokkene over het verzamelen en verwerken van persoonsgegevens door de bevoegde autoriteiten.

Artikel 17 (Recht van toegang)

De WPG en de WJSG kennen een recht op kennisneming voor de betrokkene (artikel 25 WPG en artikelen 18, 39i en 43, WJSG).

Artikel 18 (Recht om gegevens te laten corrigeren, wissen of afschermen)

De WPG en de WJSG kennen een recht om gegevens te laten corrigeren, wissen of afschermen (artikel 28 WPG en artikelen 22, 39m en 46, WJSG).

Artikel 19 (Recht op schadevergoeding)

De WPG en de WJSG kennen bepalingen over het recht van de benadeelde op schadevergoeding, door middel van een verwijzing naar de artikelen 49 en 50 van de WBP (artikel 4, zesde lid, WPG en 7, tweede lid, 30c, eerste lid, en 40, derde lid, WJSG).

Het Nederlandse recht kent geen bepalingen ter beperking van de aansprakelijkheid van politie en justitie om zich tegenover de benadeelde erop te beroepen dat de door een andere lidstaat verstrekte gegevens onjuist waren. Dit is in overeenstemming met de verplichting van het kaderbesluit.

Artikel 20 (Beroepsmogelijkheden)

De WPG en de WJSG kennen de mogelijkheid voor betrokkene om, ingeval van schending van de rechten die het nationale recht hem garandeert, beroep in te stellen bij de rechter (artikelen 29, eerste lid, WPG en art. 23, eerste lid, 39n, eerste lid en 47, eerste lid, WJSG) .

Artikel 21 (Vertrouwelijkheid van de verwerking)

De WPG kent de verplichting voor de verantwoordelijke om ambtenaren van politie te autoriseren voor de verwerking van politiegegevens. Politie gegevens worden slechts verwerkt door personen die daartoe door de verantwoordelijke zijn geautoriseerd en voorzover de autorisatie strekt (artikel 6, tweede en derde lid, WPG).

De WJSG kent geen bepalingen over de toegang tot justitiële en strafvorderlijke gegevens. Het wetsvoorstel voorziet hierin (artikel II, onderdeel C).

Artikel 22 (Beveiliging van de verwerking)

De WPG en de WJSG kennen een verplichting voor de verantwoordelijke tot het treffen van passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen (artikelen 4, derde lid, WPG en 7, eerste lid, 39c en 40, derde lid, WJSG).

Artikel 23 (Voorafgaand overleg)

De WPG en de WJSG kennen geen bepalingen over het raadplegen van toezichthoudende autoriteiten voordat bijzondere categorieën persoonsgegevens worden verwerkt of de aard van de verwerking specifieke risico’s met zich meebrengt voor de bescherming van de persoonlijke levenssfeer. Het wetsvoorstel voorziet hierin (artikelen I, onderdeel J, en II, onderdeel H).

Artikel 24 (Sancties)

De WBP en de WJSG kennen bepalingen over doeltreffende, evenredige en afschrikwekkende sancties ingeval van inbreuk op de bij of krachtens de WPG en de WJSG vastgestelde voorschriften. Deze sancties hebben betrekking op de mogelijkheid tot schadevergoeding voor de benadeelde, een rechterlijk verbod op een gedraging of een bevel tot herstel van de gevolgen van die gedraging (artikelen 4, zesde lid, WPG en 7, tweede lid, 30c, eerste lid, en 40, derde lid, WJSG). Daarnaast kan de toezichthoudende autoriteit sancties oplegen om de naleving van het bij of krachtens de wet bepaalde te verzekeren. Hierop wordt bij artikel 25 nader ingegaan.

Artikel 25 (Nationale toezichthoudende autoriteiten)

Het College bescherming persoonsgegevens is belast met het toezicht op de verwerking van politiegegevens en van justitiële en strafvorderlijke gegevens. Het College verricht zijn taak in volstrekte onafhankelijkheid en beschikt over de bevoegdheid tot het ambtshalve instellen van een onderzoek (artikelen 35, tweede lid, WPG en 27, tweede lid, WJSG). Ten behoeve van de uitoefening van toezicht kan een woning zonder toestemming van de bewoner worden betreden en kan bestuursdwang worden toegepast voor wat betreft de verplichting tot medewerking.

Bij het toezicht op de verwerking van politiegegevens kan het CBP – in geval van de niet naleving van de protocolplicht – een bestuurlijke boete opleggen.

Het College kan ambtshalve of op verzoek van een belanghebbende een onderzoek instellen naar de wijze waarop ten aanzien van gegevensverwerking toepassing wordt gegeven aan het bepaalde bij of krachtens de WPG of de WJSG.

Hierboven is aangegeven dat met de reeds geldende wetten grotendeels wordt voldaan aan de verplichtingen van het kaderbesluit dataprotectie. Niettemin zijn op enkele onderdelen aanpassingen nodig van de Nederlandse wetgeving.

De noodzaak tot aanpassing van de Nederlandse wetgeving vloeit voor een belangrijk deel voort uit de reikwijdte van het kaderbesluit, het kaderbesluit geeft namelijk een regelgevend kader voor de uitwisseling van gegevens tussen de lidstaten van de Europese Unie. In de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens zijn de regels echter georiënteerd op de gegevensuitwisseling met andere landen. In beginsel wordt daarbij geen onderscheid gemaakt in de uitwisseling van gegevens binnen of buiten de Europese Unie. Weliswaar zijn er in het Besluit politiegegevens afzonderlijke artikelen opgenomen over de verstrekking van gegevens binnen de Europese Unie (artikelen 5:2 tot en met 5:5 BPG) maar deze zijn het gevolg van de implementatie van afzonderlijke kaderbesluiten van de Raad van de Europese Unie.

De noodzaak tot aanpassing van de Nederlandse wetgeving vloeit tevens voort uit de redactie van de artikelen van het kaderbesluit. Die wijkt soms af van de redactie van de artikelen van de Wet politiegegevens of de Wet justitiële en strafvorderlijke gegevens. Door nauw aan te sluiten bij de redactie van het kaderbesluit kan helderheid worden geboden over de inhoud van de rechten en verplichtingen. Van die gelegenheid is tevens gebruik gemaakt om de terminologie van de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens onderling op onderdelen op elkaar aan te laten sluiten. Dit betreft onder meer de weigeringsgronden bij de uitoefening van het recht op kennisneming, de verstrekking van justitiële en strafvorderlijke gegevens aan de bevoegde autoriteiten in het buitenland of aan internationale organen en de verstrekking van justitiële en strafvorderlijke gegevens ten behoeve van wetenschappelijk onderzoek en statistiek.

Het kaderbesluit schrijft voor dat persoonsgegevens, die van een andere lidstaat zijn ontvangen, aan een derde land of internationale organen mogen worden doorgegeven, onder meer wanneer het betrokken derde land of internationale orgaan een toereikend beschermingsniveau voor de voorgenomen gegevensverstrekking waarborgt (artikel 13, eerste lid). In afwijking daarvan kunnen persoonsgegevens onder bepaalde voorwaarden worden doorgegeven (artikel 13, derde lid). Tot nu toe gaat de Wet politiegegevens uit van het criterium van voldoende waarborgen voor een juist gebruik van de verstrekte gegevens en voor de bescherming van de persoonlijke levenssfeer (artikel 17, vijfde lid, WPG). Met het overnemen van het begrippenkader van het kaderbesluit wordt helderheid geboden over de voorwaarden waaronder politiegegevens aan een ander land verstrekt kunnen worden. Daarbij wordt geen onderscheid gemaakt tussen verstrekkingen binnen en buiten de Europese Unie.

Tot nu toe kent de Wet justitiële en strafvorderlijke gegevens in het geheel geen regels voor de verstrekking van justitiële en strafvorderlijke gegevens aan de bevoegde autoriteiten in een ander land. Op dit punt moet de Wet justitiële en strafvorderlijke gegevens worden aangepast. De regeling van die wet is identiek aan die van de Wet politiegegevens.

Het kaderbesluit dataprotectie schrijft voor dat de bevoegde nationale toezichthoudende autoriteiten worden geraadpleegd voordat persoonsgegevens, die in een nieuw bestand zullen worden opgenomen, worden verwerkt wanneer het gaat om gevoelige gegevens of in het kader van een verwerking die wegens de schaal waarop zij wordt toegepast of uit hun aard specifieke risico’s voor de bescherming van de persoonlijke levenssfeer met zich meebrengt. Tot nu toe bepaalt de Wet politiegegevens dat het College bescherming persoonsgegevens om advies wordt gevraagd over voorstellen van wet en ontwerpen van algemene maatregelen van bestuur die geheel of voor een belangrijk deel betrekking hebben op de verwerking van persoonsgegevens (artikel 35, tweede lid, WPG jo. 51, tweede lid, WBP). De Wet justitiële en strafvorderlijke gegevens kent een soortgelijke bepaling (art. 27, tweede lid en artikel 51 WJSG jo. artikel 51, tweede lid, WBP). Het kaderbesluit noodzaakt tot aanvulling van het adviesrecht van het College bescherming persoonsgegevens.

Daarnaast noodzaakt het kaderbesluit tot aanvulling van de wettelijke bevoegdheden van het College bescherming persoonsgegevens. Op grond van de Wet politiegegevens is het CBP bevoegd tot toepassing van bestuursdwang tot handhaving van de bij of krachtens de wet gestelde verplichtingen. Een dergelijke bevoegdheid heeft het CBP niet bij het toezicht op de naleving van het bij of krachtens de Wet justitiële en strafvorderlijke gegevens bepaalde. Het kaderbesluit noodzaakt tot aanvulling van de bevoegdheden van het CBP op dit gebied. Verder kent de Wet politiegegevens aan het CBP de bevoegdheid toe een bestuurlijke boete op te leggen, als niet wordt voldaan aan het hetgeen is bepaald bij of krachtens artikel 32 Wpg. Dit betreft de verplichting tot vastlegging van bepaalde informatie, de schriftelijke melding van een gemeenschappelijke verwerking aan het CBP of de bewaring van gegevens in verband met het verrichten van de audits. Naar aanleiding van het kaderbesluit wordt voorgesteld aan het CBP de bevoegdheid tot oplegging van een bestuurlijke boete toe te delen, ten behoeve van het toezicht op de naleving van de verplichting tot bewaring van gegevens over de verstrekking van justitiële en strafvorderlijke gegevens aan derden.

Verder noodzaakt het kaderbesluit dataprotectie tot aanpassing van het Besluit politiegegevens en het Besluit justitiële en strafvorderlijke gegevens. De belangrijkste aanpassingen betreffen de doeleinden waarvoor de verstrekte gegevens in de ontvangende lidstaat verder kunnen worden verwerkt, het stellen van specifieke beperkingen aan de verdere verwerking in een andere lidstaat, de doorgifte van gegevens door de ontvangende lidstaat aan derde landen en de doorgifte van gegevens door de ontvangende lidstaat aan particuliere instanties.

Over het wetsvoorstel is advies uitgebracht door het College bescherming persoonsgegevens, het College van procureurs-generaal, het Korpsbeheerdersberaad i.o., de Raad van Korpschefs i.o., de Nederlandse Orde van Advocaten en de Koninklijke marechaussee.

Het College bescherming persoonsgegevens (CBP) stelt vast dat in het wetsvoorstel het markeren van politiegegevens respectievelijk justitiële of strafvorderlijke gegevens wordt geregeld. In het kaderbesluit dataprotectie is het markeren van gegevens gebruikt in de definitie van enerzijds afschermen (markeren met als doel de verwerking van gegevens in de toekomst te beperken) en anderzijds kenmerken (markeren van opgeslagen gegevens zonder de bedoeling om hun toekomstige verwerking te beperken). Het markeren is aan de orde als niet kan worden vastgesteld of het gegeven al dan niet juist is. Door het markeren toe te voegen aan de artikelen over het verbeteren, aanvullen, verwijderen of afschermen van gegevens (artikel 28 WPG, artikel 22, eerste lid, WJSG en artikel 39m WJSG) is markeren alleen mogelijk indien de gegevens feitelijk onjuist, onvolledig of niet ter zaken dienend zijn. Het CBP adviseert het wetsvoorstel nader te bezien op de gehanteerde terminologie waar het markeren dan wel kenmerken van gegevens betreft. Aan dit advies is gevolg gegeven, in die zin dat de tekst van het voorgestelde artikel I, onderdeel H (artikel 28, tweede lid, WPG) en artikel II, onderdelen G en N (artikelen 22, eerste lid en 39m, eerste lid, WJSG) zijn aangepast. Met de nieuwe redactie wordt duidelijk tot uitdrukking gebracht dat de mogelijkheid van het markeren aan de orde is in de gevallen waarin de juistheid van de gegevens niet kan worden aangetoond. Daarnaast is de toelichting bij deze artikelen aangevuld.

Het College wijst er verder op dat in de wijziging van artikel 6, zevende lid, WPG (was: artikel I, onderdeel C) waarmee werd beoogd een omissie in de wet te herstellen, reeds is voorzien met het door de Eerste Kamer aanvaarde wetsvoorstel 31391. Aan het advies van het College is gevolg gegeven: dit artikel is geschrapt, onder vernummering van de andere artikelen.

Met betrekking rond artikel I, onderdeel F (was: artikel I, onderdeel E) en artikel II, onderdelen F en L acht het College de termijn van drie jaar voor de bewaring van gegevens ten behoeve van de uitoefening van het recht op kennisneming te kort. Dit klemt temeer in het licht van de wijziging van de bepaling over de protocolplicht (art. 32 WPG) waarbij er volgens het College vanuit wordt gegaan dat gegevens ten behoeve van de audit korter bewaard worden dan drie jaar. Dit is voor het CBP echter niet vanzelfsprekend. Het College adviseert in de memorie van toelichting te motiveren in hoeverre invulling is dan wel wordt gegeven aan deze bepaling. In reactie op dit advies wordt opgemerkt dat de verantwoordelijke is gehouden eenmaal in de vier jaren de uitvoering van de bij of krachtens de wet gegeven regels door een privacyaudit te controleren (art. 6:5, eerste lid, BPG). De gegevens over de verstrekking van politiegegevens aan derden moeten door de verantwoordelijke worden bewaard tot dat de audit heeft plaatsgevonden (artikel 32, derde lid, WPG). Niet uitgesloten is echter dat de auditcyclus zodanig uitkomt dat de audit heeft plaatsgevonden voordat de termijn, waarbinnen de betrokkene kan verzoeken om informatie over de verstrekking van gegevens aan derden, is verlopen. Daarom wordt voorgesteld in artikel 32, derde lid, van de Wet politiegegevens te bepalen dat de gegevens in een dergelijk geval vier jaar beschikbaar blijven, teneinde te kunnen voldoen aan een verzoek van een persoon tot kennisneming of correctie van de over hem verwerkte gegevens. Op de opmerkingen van het CBP op de bewaartermijn in verband met het recht van betrokkene op kennisneming wordt nader ingegaan in de toelichting op artikel I, onderdeel F (artikel 25, eerste lid, WPG).

Inzake de adviestaak van artikel I, onderdeel J en artikel II, onderdeel H van het wetsvoorstel, die is gebaseerd op artikel 23 van het kaderbesluit dataprotectie, stelt het CBP vast dat het er een taak bij krijgt. Het CBP heeft in 2007 besloten binnen het takenpakket meer nadruk te willen leggen op handhaving in plaats van advisering. Indachtig deze koerswijziging zal bij de vormgeving van de nieuwe adviestaak aansluiting worden geacht bij het thans reeds bestaande instrument van de zienswijze. Het CBP adviseert haar visie op de nieuwe gecreëerde adviestaak op te nemen in de memorie van toelichting. In de reactie op het rapport van de commissie Brouwer-Korf en de evaluatie van de Wet bescherming persoonsgegevens heeft het kabinet aangegeven begrip te hebben voor de afwegingen van het CBP over de invulling van het takenpakket (Kamerstukken II, 2009/10, 31 051, nr. 5, blz. 24/26). In de toelichting bij artikel I, onderdeel J (artikel 35, vierde lid, WPG) is nader ingegaan op de opmerkingen van het CBP over de eigen adviesrol.

Het CBP signaleert enkele discrepanties tussen het conceptwetsvoorstel, de Wet politiegegevens en de concept-Onderlinge regeling tussen Curaçao, Sint Maarten en Nederland betreffende de verwerking van politiegegevens. Dit betreft het recht op schadevergoeding, de bevoegdheid van de toezichthouder om in rechte op te reden en de indiening van een vordering met betrekking tot de bescherming van rechten en vrijheden in verband met de verwerking van persoonsgegevens. Het CBP adviseert het wetsvoorstel en de memorie van toelichting op deze punten aan te vullen. In reactie op dit advies wordt opgemerkt dat de concept-Onderlinge regeling tussen Curaçao, Sint Maarten en Nederland betreffende de verwerking van politiegegevens beoogt een toereikend beschermingsniveau te bieden voor de politiegegevens die tussen de landen worden uitgewisseld. De afspraken in deze onderlinge regeling zorgen ervoor dat de landen er onderling op kunnen vertrouwen dat de verwerking van «hun» politiegegevens na doorgifte naar een ander land aan bepaalde (minimum)voorwaarden voldoet. De normen van de concept-Onderlinge regeling hebben een meer abstract karakter en kunnen inhoudelijk afwijken van die van de Wet politiegegevens. Dit geldt bijvoorbeeld voor de vordering met betrekking tot de bescherming van rechten en vrijheden in verband met de verwerking van persoonsgegevens. Verder is het recht op schadevergoeding – anders dan het CBP kennelijk veronderstelt – wel in de Wet politiegegevens geregeld. Daarvoor kan worden verwezen naar artikel 4, zesde lid, WPG. Op het punt van de bevoegdheid van de toezichthouder om in rechte op te treden zijn de concept-Onderlinge regeling tussen Curaçao, Sint Maarten en Nederland betreffende de verwerking van politiegegevens en dit wetsvoorstel met elkaar in overeenstemming gebracht. Overigens verplicht het kaderbesluit dataprotectie de lidstaten niet tot toedeling van de bevoegdheid aan de nationale toezichthoudende autoriteit om in rechte op te treden in geval van inbreuken op de krachtens het kaderbesluit vastgestelde nationale bepalingen. Volstaan kan worden met de bevoegdheid om een dergelijke inbreuk onder de aandacht te brengen van de justitiële autoriteiten (artikel 25, eerste lid, onderdeel c).

Tenslotte heeft het CBP een aantal tekstuele opmerkingen gemaakt. Deze zijn alle overgenomen.

Het College van procureurs-generaal kan over het algemeen instemmen met het voorliggende wetsvoorstel en heeft slechts een aantal punten die om verduidelijking vragen en een aantal redactionele opmerkingen.

Het College wijst erop dat in artikel 11 van het kaderbesluit dataprotectie de doelbinding van gegevensverstrekkingen binnen de lidstaten van de Europese Unie wordt verruimd. Tegelijkertijd moet worden vastgesteld dat een strikter doelbindingsprincipe blijft gelden voor de gegevensuitwisseling op basis van specifieke rechtsinstrumenten van de Unie. Het College adviseert in de memorie van toelichting een paragraaf op te nemen waarin de verhouding tussen beide gegevensverwerkingen nader wordt uitgelegd. In reactie op dit advies kan worden opgemerkt dat in paragraaf V van de memorie van toelichting wordt ingegaan op de verhouding tussen gegevensverwerking op grond van het kaderbesluit of op grond van bestaande EU-overeenkomsten. Naar aanleiding van het advies van het College is de tekst van paragraaf V aangevuld. Overigens moet nog worden opgemerkt dat – anders dan het College kennelijk veronderstelt – de doelbinding van het kaderbesluit dataprotectie in de weg staat aan de verdere verwerking van persoonsgegevens, die van een andere lidstaat zijn ontvangen, voor algemene analysedoeleinden. Op grond van artikel 11 van het kaderbesluit kunnen de ontvangen gegevens ook verder worden verwerkt voor andere gerechtelijke of administratieve procedures die rechtstreeks verband houden met de opsporing of vervolging van strafbare feiten. Dit kan een opsporingsonderzoek of strafvervolging naar een ander strafbaar feit betreffen. De gegevens kunnen dan wel worden gebruikt voor het opstellen van een misdaadanalyse rond dat strafbare feit.

Het College van procureurs-generaal is voorts van mening dat met de voorgestelde aanpassing van artikel 28 WPG in artikel I, onderdeel H (was: artikel I, onderdeel G) geen correcte uitwerking aan het kaderbesluit wordt gegeven, omdat het in het kaderbesluit gaat om de markering van een feit waarvan niet kan worden vastgesteld of dit juist was. In zijn advies heeft het CBP hier eveneens op gewezen. Het College van procureurs-generaal vraagt zich af of Nederland er verstandig aan doet dit element over te nemen, omdat niet duidelijk is wie op grond van welke informatie kan beslissen over de juistheid van een gegeven. Het College meent dat de markering als onwerkbaar moet worden beschouwd en adviseert de mogelijkheid van het markeren van gegevens te schrappen. In reactie op dit advies kan worden opgemerkt dat het in de praktijk heel wel mogelijk is dat verschil van inzicht bestaat tussen de betrokkene en de verantwoordelijke over de juistheid van de verwerkte gegevens. In een dergelijk geval staat voor de betrokkene beroep op de rechter open (artikel 29 WPG). In afwachting van de definitieve beslissing van de rechter dienen de gegevens door de verantwoordelijke te worden voorzien van een kenmerk zodat het voor de personen die met deze gegevens in aanraking komen duidelijk is dat de juistheid van de gegevens betwist wordt. Schrapping van de mogelijkheid van markering, zoals door het College voorgesteld, impliceert dat de verplichtingen van het kaderbesluit niet volledig worden geïmplementeerd. Op dit punt is het advies van het College van procureurs-generaal niet gevolgd. Wel is de redactie van de betreffende bepaling aangepast zodat het doel van het markeren correct is omschreven.

Het College acht het niet denkbeeldig dat de wijziging van artikel 25, eerste lid, WPG in artikel I, onderdeel F (was: artikel I, onderdeel E), inhoudende dat de verantwoordelijke gehouden is inlichtingen te verstrekken over de ontvanger of categorieën van ontvangers aan wie persoonsgegevens zijn verstrekt, een keten van inzageverzoeken zal genereren. Het College acht het dan ook te vroeg om te stellen dat deze aanvulling waarschijnlijk tot weinig extra werklast voor de politie zal leiden, het ligt volgens het College eerder voor de hand om aan te nemen dat de werklast voor de politie wel zal toenemen. Om een mogelijke verzwaring van de werklast van de politie te voorkomen stelt het College voor de weigeringsgrond van het voorkomen van belemmering van gerechtelijke procedures, van artikel 17 van het kaderbesluit, in artikel 27 van de Wet politiegegevens op te nemen. Deze weigeringsgrond komt ook voor in het voorgestelde artikel 39l van de Wet justitiële en strafvorderlijke gegevens (artikel II, onderdeel M). Meer in het algemeen bepleit het College de weigeringsgronden van het kaderbesluit integraal over te nemen. In reactie op dit advies moet worden opgemerkt dat de weigeringsgronden van het kaderbesluit betrekking hebben op zowel de opsporing als de vervolging van strafbare feiten. In het wetsvoorstel wordt voorgesteld de weigeringsgrond van het belemmeren van gerechtelijke procedures op te nemen in artikel 39l WJSG omdat deze bepaling betrekking heeft op de mogelijkheid tot kennisneming van strafvorderlijke gegevens. Het valt vooralsnog echter niet goed in te zien wat de betekenis van een dergelijke weigeringsgrond kan zijn bij een verzoek tot kennisneming van politiegegevens. Daarom zal toevoeging van deze grond aan artikel 27 van de Wet politiegegevens voor de praktijk weinig toegevoegde waarde hebben. Op de opmerking van het over de mogelijke consequenties van de aanvulling van artikel 25 van de Wet politiegegevens voor de werklast van de politie zal hieronder, in de paragraaf over de consequenties van het wetsvoorstel voor de praktijk en financiële gevolgen, nader worden ingegaan.

Voorts wijst het College van procureurs-generaal erop dat het kaderbesluit niet duidelijk is over de vraag wat moet worden verstaan onder een derde-land, zoals genoemd in artikel 13 van het kaderbesluit. Het College adviseert het begrip derde-land te laten vervallen en uitsluitend onderscheid te maken tussen verstrekking of doorgifte van persoonsgegevens aan EU-landen en verstrekking of doorgifte van persoonsgegevens aan niet EU-landen. Verder vraagt het College aandacht voor de situatie waarin gegevens, die van een andere lidstaat zijn verkregen, worden verwerkt tot nieuwe informatie. De vraag is aan de orde of die andere lidstaat toestemming moet geven voor de doorgifte van de gegevens aan een derde land. In reactie op dit advies moet worden opgemerkt dat in de toelichting bij het voorgestelde artikel 5:9 van het ontwerpbesluit houdende aanpassing van het Besluit politiegegevens en het Besluit justitiële en strafvorderlijke gegevens in verband met de implementatie van het Kaderbesluit 2008/977/JBZ van de Raad van de Europese Unie van 27 november 2008 over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken (PbEU L 350) en het Besluit 2009/371/JBZ van de Raad van 6 april tot oprichting van de Europese politiedienst (hierna ook te noemen: het ontwerpbesluit ter implementatie van het kaderbesluit dataprotectie) reeds is vastgesteld dat het kaderbesluit niet duidelijk is over de vraag of het begrip derde landen ook andere lidstaten omvat. Voor wat betreft artikel 13 van het kaderbesluit wordt er vooralsnog vanuit gegaan dat dit artikel ook geldt voor de doorgifte van gegevens aan andere lidstaten. Dit is toegelicht in de nota van toelichting bij het ontwerpbesluit ter implementatie van het kaderbesluit dataprotectie. Als de gegevens, die van een andere lidstaat zijn verkregen, worden verwerkt tot nieuwe informatie dan is uitsluitend toestemming van die andere lidstaat vereist als het gaat om doorgifte van gegevens die van die lidstaat zijn verkregen. Dit veronderstelt wel dat de gegevens binnen de gegevenshuishouding van politie of justitie als zodanig te herkennen zijn. In de informatiesystemen moeten de gegevens die van een ander land zijn verkregen worden voorzien van een kenmerk of oormerk. Dit vloeit reeds voort uit het principe van de doelbinding, dat aan een dergelijke verstrekking ten grondslag ligt. Overigens kan worden opgemerkt dat het door het College voorgestelde onderscheid tussen EU-lidstaten en niet EU-lidstaten minder aantrekkelijk is met het oog op de implementatie. In het Besluit politiegegevens wordt de verstrekking van persoonsgegevens aan EU-lidstaten behandeld als een nadere uitwerking van de verstrekking van persoonsgegevens aan het buitenland.

Tenslotte heeft het College een aantal redactionele opmerkingen ingebracht. Deze hebben betrekking op de voorgestelde wijziging van artikel 17 WPG in artikel I, onderdeel E (was: artikel I, onderdeel D), van artikel 25 WPG in artikel I, onderdeel F (was: artikel I, onderdeel E), van artikel 3, tweede lid, WJSG in artikel II, onderdeel B, en van artikel 39i WJSG in artikel II, onderdeel K, van het wetsvoorstel. Aan deze opmerkingen is zoveel mogelijk gevolg gegeven. De verlenging van de reactietermijn tot zes weken ligt minder voor de hand omdat deze termijn samenhangt met de specifieke organisatiestructuur van de Nederlandse politie, die er in de praktijk eenvoudig toe kan leiden dat een verzoek tot kennisneming van politiegegevens meerdere verantwoordelijken aangaat. Wel is de reactietermijn van vier weken verlengd tot zes weken en is de mogelijkheid tot verdaging van de termijn met vier weken opgenomen in de voorgestelde wijziging van artikel 39i WJSG. Daarmee zijn de reactietermijnen voor de verstrekking van strafvorderlijke gegevens in overeenstemming gebracht met die voor de verstrekking van politiegegevens. Met deze verlenging wordt het openbaar ministerie meer ruimte geboden om deze verzoeken af te handelen, omdat in grote strafzaken veel gegevens gecontroleerd zullen moeten worden en eveneens afstemming noodzakelijk kan zijn met de betrokken politiekorpsen omtrent de kennisneming van de in het betreffende onderzoek verwerkte politiegegevens.

In hun advies wijzen de politieberaden er op dat in de wijziging van artikel 17 WPG in artikel I, onderdeel E (was: artikel I, onderdeel D) van het wetsvoorstel de verwijzing naar Interpol ten onrechte is weggevallen. In reactie hierop kan worden opgemerkt dat Interpol kan worden aangemerkt als een internationaal orgaan, als bedoeld in artikel 17, tweede lid, van de Wet politiegegevens. Dit is in de memorie van toelichting verhelderd.

In de voorgestelde wijziging van artikel 25, eerste lid, WPG in artikel I, onderdeel F, van het wetsvoorstel (was: artikel I, onderdeel E) achten de politieberaden het wenselijk in artikel 25 WPG toe te voegen de woorden «of hebben ondergaan», zodat buiten twijfel is gesteld dat het recht op kennisneming in elk geval ook betrekking heeft op gegevens die voorafgaand aan het verzoek zijn verwerkt, maar waarvan gesteld zou kunnen worden dat ze (nog) niet zijn vastgelegd. Daarbij wijzen de politieberaden erop dat de verruiming van het recht op kennisneming consequenties zal hebben voor de werklast. Naar aanleiding van dit advies is de tekst van artikel 25, eerste lid, WPG toegesneden op de tekst van het kaderbesluit (artikel 17, eerste lid, onderdeel a). Het kaderbesluit rept van «gegevens die verwerking ondergaan», daaruit kan worden afgeleid dat het recht op kennisneming in beginsel is beperkt tot de gegevens die op het moment van het verzoek verwerkt worden, de formulering van het recht op informatie over de ontvangers aan wie de gegevens zijn verstrekt impliceert echter dat het in dat geval juist gaat om gegevens die in een eerder stadium werden verwerkt c.q. verstrekt. Voor de reactie op de mogelijke toeneming van de werklast wordt verwezen naar de paragraaf over de consequenties van het wetsvoorstel voor de praktijk.

Met betrekking tot de wijziging van artikel 35, vierde lid, WPG in artikel I, onderdeel J, van het wetsvoorstel (was: artikel I, onderdeel I) wijzen de politieberaden erop dat de redactie van het voorgestelde artikel 35, vierde lid, onderdeel b, WPG en de memorie van toelichting thans teveel ruimte laten voor de suggestie dat hiermee wordt teruggekeerd naar de dagen van de (voormalige) Wet politieregisters, met de voorafgaande, zogenaamde hoorprocedure bij het CBP. Naar aanleiding van dit advies moet worden opgemerkt dat de oude Wet politieregisters, die inmiddels is vervangen door de Wet politiegegevens, voorzag in verplichtingen tot het voorafgaande horen van het CBP bij opneming van bepaalde bepalingen in de reglementen (art. 6, vierde lid en art. 21, derde lid, Wpolr oud). Niet goed valt in te zien waarom de procedure van de zienswijze op dit punt zou strekken tot een terugkeer naar de dagen van de oude Wet politieregisters. De uitbreiding van de verplichting tot het voorafgaand horen van het CBP heeft uitsluitend betrekking op gevallen waarin de aard van de verwerking, in het bijzonder met gebruikmaking van nieuwe technologieën, mechanismen of procedures, anderszins specifieke risico’s met zich meebrengt voor het recht op bescherming van de persoonlijke levenssfeer.

Tenslotte wijzen de politieberaden op enkele tekstuele omissies of onduidelijkheden in de considerans, artikel I, onderdeel C, onderdeel G en onderdeel I, van het wetsvoorstel. Deze opmerkingen zijn overgenomen. In artikel I, onderdeel C (artikel 3, derde lid, WPG) is de zinsnede dat politiegegevens slechts worden verwerkt voor zover dit noodzakelijk is voor de bij of krachtens deze wet geformuleerde doeleinden, abusievelijk weggevallen. Deze omissie is hersteld.

De Nederlandse Orde van Advocaten (hierna: de Orde) wijst erop dat artikel 8, eerste lid van het kaderbesluit dataprotectie verplichtingen bevat voor de bevoegde autoriteiten om gegevens te controleren voordat deze worden verstrekt of beschikbaar gesteld. Deze bepaling bevat volgens de Orde echter ook positieve verplichtingen die niet allemaal in de voorgestelde tekst van de Wet politiegegevens zijn terug te vinden. Het belang van deze verplichtingen acht de Orde dermate groot dat het aanbeveling verdient artikel 8 van het kaderbesluit integraal in de Wet politiegegevens op te nemen. In reactie op dit advies kan worden gewezen op het ontwerpbesluit ter implementatie van het kaderbesluit dataprotectie. In artikel I, onderdeel C en onderdeel E en artikel II, onderdeel F en onderdeel G, van het ontwerpbesluit zijn de verplichtingen, die uit artikel 8 van het kaderbesluit voortvloeien, expliciet vastgelegd. Dit lijkt afdoende; een aanvullende regeling bij wet past niet goed in de systematiek van de Wet politiegegevens en heeft materieel weinig toegevoegde waarde.

De Orde wijst er voorts op dat in de voorgestelde wijziging van artikel 3, derde lid, van de Wet politiegegevens in artikel I, onderdeel C, de zinsnede «voor zover deze wet daar uitdrukkelijk in voorziet» is weggevallen en pleit ervoor deze zinsnede te handhaven. Zoals ook is opgemerkt in reactie op het advies van de politie, betreft dit een omissie. Dit is hersteld.

De Orde wijst voorts op de voorgestelde wijziging van artikel 17, vijfde lid, WPG in artikel I, onderdeel E (was: artikel I, onderdeel D), dat de verstrekking van politiegegevens aan een ander land of internationaal orgaan bindt aan het toereikend beschermingsniveau van de voorgenomen gegevensverwerking. De Orde acht het vanuit oogpunt van rechtsbescherming ongewenst als Nederland in dit opzicht lagere normen met betrekking tot die ontoereikendheid zou aanleggen dan andere lidstaten en doet een klemmend beroep op de Minister ervoor te zorgen dat Nederland bij de geringste twijfel aan de toereikendheid geen gegevens verstrekt. Om dezelfde reden dringt de Orde erop aan uiterst terughoudend te zijn met de uitzonderingsmogelijkheid om, in die gevallen waarin geen sprake is van een toereikend niveau, toch tot gegevensverstrekking over te gaan. Daarbij wijst de Orde erop dat de toestemming van de lidstaat waarvan de gegevens afkomstig zijn ten onrechte niet is opgenomen in artikel 17 van de wet. De Orde adviseert dit alsnog te doen. Naar aanleiding van dit advies kan worden opgemerkt dat het risico van «forum shopping» alleen dan aan de orde is bij het voornemen tot doorgifte van gegevens, die van een andere lidstaat zijn verkregen, aan een derde land. Het toepassingsbereik van het kaderbesluit dataprotectie is beperkt tot gegevens die tussen de lidstaten worden uitgewisseld met het oog op de opsporing en vervolging van strafbare feiten. Doorgifte van die gegevens aan een derde land is afhankelijk van de instemming van de lidstaat waarvan de gegevens afkomstig zijn. Het instemmingsvereiste wordt vastgelegd in het het ontwerpbesluit ter implementatie van het kaderbesluit dataprotectie. Dit betekent dat Nederland ten alle tijde de eigen normen voor de verstrekking van gegevens aan het buitenland zal kunnen handhaven in het geval doorgifte van die gegevens door een andere lidstaat aan de orde is. Uiteraard zullen deze normen zeer zorgvuldig toegepast moeten worden en zal over de toepassing verantwoording afgelegd moeten kunnen worden aan het College bescherming persoonsgegevens, dat is belast met het toezicht op de wijze waarop aan het bij of krachtens de Wet politiegegevens gestelde uitvoering wordt gegeven. Het ligt minder voor de hand om de doorgifte afhankelijk te stellen van de toestemming van de betrokkene, zoals de Orde bepleit, omdat hiermee een extra eis zou worden gesteld die niet in overeenstemming is met de verplichtingen die uit het kaderbesluit voortvloeien. Wel ligt het in de rede dat de belangen van de betrokkene worden meegewogen in de beslissing tot doorgifte van de gegevens. Op dit punt is de toelichting bij artikel I, onderdeel E (was: onderdeel C), van het wetsvoorstel aangevuld.

De NOvA stelt voorts de bewaartermijn van drie jaar voor de informatie over de ontvangers of de categorieën van ontvangers aan wie gegevens zijn verstrekt, aan de orde. De adviescommissie ziet geen reden voor de beperking van die termijn tot drie jaar en adviseert deze beperking te schrappen. Dit advies is niet overgenomen. In de toelichting op de voorgestelde wijziging van artikel 25 WPG in artikel I, onderdeel F (was: artikel I, onderdeel E) wordt hier nader op in gegaan.

Tenslotte heeft de NOvA enkele redactionele opmerkingen ingebracht. Hieraan is gevolg gegeven.

Zoals eerder is opgemerkt wordt met de bestaande Nederlandse wetgeving reeds op hoofdlijnen voldaan aan de verplichtingen die voortvloeien uit het kaderbesluit dataprotectie. Naar verwachting zal het wetsvoorstel geen ingrijpende gevolgen hebben voor de praktijk. De gevolgen voor de werklast kunnen worden teruggevoerd op de volgende twee omstandigheden.

Dit betreft in de eerste plaats de verruiming van de mogelijkheden tot verstrekking van gegevens aan de andere lidstaten. Dit is aan de orde bij de verstrekking van justitiële en strafvorderlijke gegevens aan de bevoegde autoriteiten in een ander land; op dat gebied kende de Wet justitiële en strafvorderlijke gegevens tot nu toe geen specifieke regels. De invloed hiervan op de werklast van het openbaar ministerie is niet goed te kwantificeren, en lijkt ook overigens niet van een dermate ingrijpende aard dat de hieruit voortvloeiende kosten niet kunnen worden gedekt uit het reguliere budget van het openbaar ministerie.

Dit betreft in de tweede plaats de verruiming van de rechten van de persoon over wie gegevens worden verwerkt. Dit is aan de orde bij het markeren van gegevens en bij het verstrekken van inlichtingen over de vraag of een persoon betreffende gegevens gedurende een periode van drie jaar voorafgaande aan het verzoek zijn verstrekt. Het markeren van gegevens vereist de ontwikkeling van een nieuwe functionaliteit, de kosten die hieraan zijn verbonden zullen waarschijnlijk beperkt zijn en deel kunnen uitmaken van het reguliere beheerbudget. Het recht op de verstrekking van inlichtingen over de gegevensverstrekking aan derden was voorheen in de Wet politiegegevens niet voorzien. In de Wet justitiële en strafvorderlijke gegevens was dit recht van de betrokken persoon wel voorzien, maar gebonden aan een periode van één jaar. Uit deze verruiming zullen kosten voortvloeien, op het gebied van de personele lasten of op het gebied van de informatiehuishouding. Met de afhandeling van de verzoeken tot kennisneming van de verstrekking van gegevens aan derden zal enige personele capaciteit kunnen zijn gemoeid. Vooralsnog lijkt dit echter niet zodanig omvangrijk dat hiervoor aparte voorzieningen getroffen zouden moeten worden. Ditzelfde geldt voor de aanpassing van de informatiehuishouding binnen politie en justitie, zodat de informatie over de verstrekking van de gegevens aan derden gedurende een periode van drie jaar beschikbaar wordt gehouden. In hun adviezen hebben het openbaar ministerie en de politieberaden opgemerkt dat, anders dan in de memorie van toelichting werd gesteld, het voor de hand ligt aan te nemen dat de werklast voor de politie wel zal toenemen. In reactie hierop kan worden opgemerkt dat de personele lasten die uit de afhandeling van de verzoeken tot kennisneming van de verstrekking van gegevens aan derden kunnen voortvloeien, mede gelet op de omvang van de politieorganisatie en het daarmee verbonden budget, niet onoverkomelijk lijken. Dit kan binnen de bestaande budgettaire kaders worden opgevangen. Voor wat betreft de termijn voor de bewaring van de informatie over de verstrekking van gegevens aan derden geldt dat politie en openbaar ministerie reeds zijn gehouden deze informatie te bewaren. Voor de politie vloeit dit voort uit de protocolplicht (artikel 32 WPG), voor het openbaar ministerie vloeit dit voort uit het bestaande recht tot kennisneming van de verstrekking van strafvorderlijke gegevens (art. 39j WJSG). Extra kosten zullen zijn verbonden aan het installeren van meer digitale opslagcapaciteit. In het licht van de bestaande budgetten voor de automatisering bij politie en openbaar ministerie lijkt het aangewezen een eventuele aanpassing van de systemen in verband met de bewaartermijnen te betrekken in lopende of komende automatiseringstrajecten. Ook deze kosten zullen worden opgevangen binnen de eigen begrotingen van de betreffende departementen.

Het wetsvoorstel geeft regels voor de verwerking van persoonsgegevens door de instanties die zijn belast met de opsporing en vervolging van strafbare feiten. Onderdeel hiervan vormt het recht op kennisneming voor de betrokkene, dat wordt verruimd in verband met de verstrekking van gegevens aan derden. Het wetsvoorstel heeft echter geen gevolgen voor de administratieve lasten van burgers en bedrijven.

In dit lid is vastgelegd dat politiegegevens uitsluitend voor een ander doel kunnen worden verwerkt dan waarvoor zij zijn verkregen voor zover deze wet daar uitdrukkelijk in voorziet, de verdere verwerking noodzakelijk is en in verhouding staat tot dat doel en niet onverenigbaar is met het doel waarvoor de gegevens zijn verzameld. De aanpassing van dit lid vloeit voort uit artikel 3, tweede lid, van het kaderbesluit dat vereist dat de verdere verwerking van de gegevens, die worden verwerkt met het oog op de preventie, het onderzoek, de opsporing en de vervolging terzake van strafbare feiten of de tenuitvoerlegging van straffen, voor een ander doel is toegestaan mits deze verwerking niet onverenigbaar is met het doel waarvoor de gegevens zijn verzameld, deze verwerking noodzakelijk is en in verhouding staat tot dat doel (artikel 3, tweede lid, onderdelen a en c). Daarnaast is vereist dat de bevoegde autoriteiten bevoegd zijn om die gegevens te verwerken conform de toepasselijke rechtsvoorschriften (artikel 3, tweede lid, onderdeel b). Met de verplichting van de Wet politiegegevens dat de verantwoordelijke een systeem van autorisaties onderhoudt, wordt hieraan reeds voldaan (artikel 6, eerste lid, WPG).

Het vereiste dat de verdere verwerking niet onverenigbaar is met het doel waarvoor de gegevens zijn verzameld geldt voor iedere vorm van verdere verwerking, dus zowel de beschikbaarstelling van gegevens binnen de politie, de Koninklijke marechaussee of een bijzondere opsporingsdienst, op grond van paragraaf 2 van de wet, als voor de verstrekking van politiegegevens aan andere personen of instanties, op grond van paragraaf 3 van de wet. In paragraaf 2 van de wet zijn de verschillende doelen, met het oog waarop de gegevens met het oog op de uitvoering van de politietaak verzameld kunnen worden, onderscheiden. Dit betreft de uitvoering van de dagelijkse politietaak (artikel 8 WPG), het onderzoek in verband met de handhaving van de rechtsorde in een bepaald geval (artikel 9 WPG), het verkrijgen van inzicht in de betrokkenheid van personen bij bepaalde ernstige schendingen van de rechtsorde (artikel 10 WPG), de controle op en het beheer van een informant (artikel 12 WPG) of de ondersteuning van de politietaak (artikel 13 WPG). Met deze doeleinden is niet onverenigbaar dat de verzamelde gegevens verder worden verwerkt met het oog op doelen die nauw samenhangen met de strafrechtspleging. Daarbij kan worden gedacht aan de reclassering of de hulp aan slachtoffers van misdrijven. Met deze doeleinden is evenmin onverenigbaar de verdere verwerking ten behoeve van de handhaving van de rechtsorde. Dit omvat doelen als de preventie, de opsporing en de vervolging van strafbare feiten. Tenslotte is de verdere verwerking mogelijk met het oog op doelen die nauw samenhangen met de handhaving van de rechtsorde. Daarbij kan worden gedacht aan de verdere verwerking met het oog op de staatsveiligheid en de handhaving van de democratische rechtsorde, de screening van personen voor het verlenen van opdrachten, subsidies of vergunningen of voor de aanbeveling of voordracht van personen, het nemen van een beslissing over een verblijfstitel van een persoon of het toezicht op de naleving van bepaalde regelgeving. De toepassing van het noodzakelijkheidsvereiste impliceert dat de aard en de betrouwbaarheid van de te verstrekken politiegegevens in de afweging wordt betrokken. Bij politiegegevens over de betrokkenheid van personen bij ernstige strafbare feiten, zonder dat een verdenking is vastgesteld (CIE-gegevens), die ook binnen de politie zeer beperkt toegankelijk zijn, zal een zorgvuldige afweging moeten plaatsvinden, waarbij ook de aard van de te verstrekken gegevens en het doel van de verdere verwerking door de belanghebbende persoon of instantie wordt betrokken. Daarbij zijn ook de vereisten van de noodzakelijkheid en de proportionaliteit aan de orde.

Het vereiste van de verenigbaarheid van de verdere gegevensverwerking komt deels reeds tot uitdrukking in de criteria die neergelegd zijn in de wettelijke bepalingen over de verstrekking van politiegegevens aan derden. Op grond van artikel 18 van de wet is een dergelijke verstrekking mogelijk in geval van een zwaarwegend algemeen belang. Het belang van de verstrekking dient een belang van meer dan gewone maatschappelijke betekenis te betreffen. Bij die afweging zijn eveneens de eisen van noodzakelijkheid, proportionaliteit en subsidiariteit aan de orde. De betreffende personen en instanties zijn aangewezen in het Besluit politiegegevens. De verstrekking van politiegegevens aan deze personen en instanties voldoet aan de bovenbeschreven criteria en is niet onverenigbaar met het doel waarvoor de gegevens zijn verzameld. Op grond van artikelen 19 en 20 van de wet kan de verantwoordelijke in incidentele gevallen dan wel in het kader van een samenwerkingsverband met het oog op een zwaarwegend algemeen belang beslissen tot het verstrekken van politiegegevens aan personen en instanties voor bepaalde doeleinden. Die doeleinden vormen onderdeel van de politietaak, of hangen zeer nauw samen met de uitvoering daarvan, zodat ook langs die weg het vereiste van de verenigbaarheid van de verdere gegevensverwerking gewaarborgd is.

In het vierde lid wordt, ter implementatie van het kaderbesluit dataprotectie, de mogelijkheid tot verstrekking van politiegegevens aan andere lidstaten van de Europese Unie of aan een orgaan dat krachtens hoofdstuk 4 of hoofdstuk 5 van titel V van het Verdrag betreffende de werking van de Europese Unie is ingesteld geregeld. Het kaderbesluit dataprotectie geeft regels voor de bescherming van persoonsgegevens die worden of zijn verstrekt of beschikbaar gesteld tussen de lidstaten van de Europese Unie, die door de lidstaten worden of zijn verstrekt of beschikbaar gesteld aan autoriteiten of informatiesystemen die krachtens titel VI van het VEU oud zijn ingesteld of die door die organen aan de bevoegde autoriteiten van de lidstaten worden of zijn verstrekt of beschikbaar gesteld, met het oog op de preventie, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen (artikel 1, tweede lid). Zoals in het algemeen deel is vermeld, bevat het kaderbesluit dataprotectie geen verplichtingen voor de lidstaten of de krachtens titel VI VEU oud opgerichte autoriteiten of informatiesystemen tot uitwisseling van persoonsgegevens in bepaalde gevallen of onder bepaalde voorwaarden, maar dergelijke verplichtingen kunnen wel voortvloeien uit de afzonderlijke rechtsinstrumenten op basis van titel VI VEU oud. De lidstaten kunnen de verkregen gegevens verder verwerken ten behoeve van andere doeleinden, de regels van het kaderbesluit over de mogelijkheden tot verdere verwerking zijn uitgewerkt in het Besluit politiegegevens. Als autoriteiten die krachtens titel VI VEU oud zijn ingesteld en die zijn belast met de preventie, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen kunnen Europol en Eurojust worden aangemerkt. Deze organen beschikken over een eigen informatiesysteem. Op grond van het eerdergenoemde Raadsbesluit tot oprichting van de Europese politiedienst voorzien de nationale eenheden van de lidstaten Europol uit eigen beweging van de informatie en inlichtingen die Europol nodig heeft om zijn taken te vervullen (artikel 8, vierde lid, onderdeel a). In bepaalde gevallen is een nationale eenheid niet verplicht informatie en inlichtingen te verstrekken. De uit het Raadsbesluit voortvloeiende verplichtingen tot gegevensverstrekking zijn reeds uitgewerkt in het Besluit politiegegevens (artikel 5:5 BPG). Op grond van het eerdergenoemde Raadsbesluit 2009/426/JBZ verstrekken de lidstaten gegevens aan Eurojust voor zover dat nodig is voor de vervulling van de doelstelling en taken van die organisatie. Dit is uitgewerkt in artikel 5:6 van het Besluit politiegegevens.

In dit lid is tevens de mogelijkheid tot verstrekking van politiegegevens aan Interpol geregeld.

De belangen van de opsporing van strafbare feiten lopen niet altijd parallel aan de belangen van gegevensbescherming. Het zal in de praktijk voor kunnen komen dat opsporingsonderzoek wordt verricht naar personen die betrokken zijn bij ernstige vormen van criminaliteit en die opereren vanuit landen die in andere werelddelen gelegen zijn, zoals Afrika, Azië of Zuid-Amerika. Dan zal er vanwege de tijdsdruk niet altijd voldoende gelegenheid zijn om na te gaan of een land in zijn algemeenheid een toereikend beschermingsniveau biedt. Uiteraard kan hiervoor worden aangesloten bij het oordeel van de Commissie inzake het gegevensbeschermingsniveau van derde landen, op basis van de eerdergenoemde Privacyrichtlijn van de eerste pijler. Een onderzoek van de Commissie daarnaar heeft echter geen betrekking op de gegevensverwerking ten behoeve van de opsporing of vervolging van strafbare feiten. Ook is het niet uitgesloten dat contacten moeten worden gelegd met landen die nog niet aan een dergelijk onderzoek van de Commissie onderworpen zijn geweest.

In dit lid wordt de mogelijkheid geboden om, in die gevallen waarin niet kan worden vastgesteld dat er sprake is van een toereikend beschermingsniveau in het betreffende derde land, toch politiegegevens uit te wisselen. Dit kan noodzakelijk zijn ten behoeve van gerechtvaardigde specifieke belangen van betrokkene, bijvoorbeeld ingeval van detentie van een persoon in het buitenland waarbij wordt onderhandeld over vrijlating of overbrenging van die persoon naar Nederland. In een dergelijk geval vereist het kaderbesluit niet dat de betrokken persoon instemt met de overdracht van de gegevens. De formulering van deze grond in het kaderbesluit strekt er echter toe dat zonder een dergelijke toestemming de overdracht van gegevens ten behoeve van dit doel slechts in uitzonderingsgevallen mogelijk zal zijn. De doorgifte kan ook noodzakelijk zijn ten behoeve van een dringend zwaarwegend algemeen belang. Het criterium van het zwaarwegend algemeen belang is van toepassing op de verstrekking van politiegegevens aan derden, met het criterium van het dringend zwaarwegend algemeen belang wordt tot uitdrukking gebracht dat de verstrekking dringend noodzakelijk is en een zwaarwegend algemeen belang dient. Omdat onverminderd geldt dat verstrekking aan derde landen noodzakelijk is met het oog op de preventie, het onderzoek, de opsporing of de vervolging van strafbare feiten en de tenuitvoerlegging van straffen (artikel 13, eerste lid, onderdeel a) dient het dringend zwaarwegend algemeen belang uit die doeleinden voort te vloeien. Van een dringend zwaarwegend algemeen belang in deze zin kan dan sprake zijn bij de voorkoming van een aanslag of de opsporing van een ontvoerde persoon of de opheldering van een ernstig strafbaar feit, waarbij het van groot belang is dat de daders worden aangehouden. Uiteraard dient er in een dergelijk geval een zorgvuldige afweging plaats te vinden tussen het belang van de bescherming van persoonsgegevens en het belang van opsporing en vervolging. Tenslotte is verstrekking mogelijk indien het derde land of internationaal orgaan passende garanties biedt voor een zorgvuldige gegevensverwerking in het concrete geval. Hierbij kan worden gedacht aan afspraken over het gebruik van de verstrekte gegevens voor een beperkt en nauwkeurig omlijnd doel en de onmiddellijke verwijdering of vernietiging van de gegevens zodra het doel vervuld is.

Tot nu toe strekt de formulering van het recht op kennisneming in artikel 25 van de wet tot een verplichting van de verantwoordelijke tot de mededeling aan de betrokkene of, en zo ja welke, deze persoon betreffende politiegegevens zijn vastgelegd.

De formulering van het recht van toegang in artikel 17 van het kaderbesluit is ruimer, in die zin dat de betrokkene gerechtigd is antwoord te krijgen op de vraag of de hem betreffende gegevens zijn verstrekt of beschikbaar gesteld en informatie te krijgen over de ontvangers of categorieën van ontvangers aan wie de gegevens zijn verstrekt. De formulering van het kaderbesluit noopt tot aanvulling van artikel 25, eerste lid, van de wet. De voorgestelde formulering voor artikel 25 van de wet noodzaakt ertoe dat de verantwoordelijke gehouden is te melden in hoeverre gegevens verwerking ondergaan. Voor dit laatste kan worden gedacht aan gegevens die nog niet zijn vastgelegd, maar die wel zijn betrokken in een vorm van verwerking, zoals het raadplegen of vergelijken van gegevens. Verder is de verantwoordelijke gehouden inlichtingen te verstrekken over de vraag of deze persoon betreffende politiegegevens zijn verstrekt en over de ontvangers of categorieën van ontvangers aan wie de gegevens zijn verstrekt. De wet verplicht reeds tot de schriftelijke vastlegging van de verstrekking van politiegegevens (artikel 32, eerste lid, WPG). Dit met het oog op correctie van gegevens. In de praktijk zal deze aanvulling waarschijnlijk dan ook tot weinig extra werklast voor de politie leiden.

Voor de toelichting op dit lid kan worden verwezen naar de toelichting op artikel I, onderdeel C. Aanvullend kan worden opgemerkt dat de justitiële gegevens worden verwerkt met het oog op een goede strafrechtspleging. Met dit doel is niet onverenigbaar dat justitiële gegevens aan derden worden verstrekt, met het oog op doelen die samenhangen met de rechtshandhaving of met de preventie van criminaliteit. Voorbeelden daarvan zijn de screening ten behoeve van het nemen van een beslissing over het verlenen of intrekken van een verblijfstitel of de afgifte van een reisdocument, het verlenen van vergunningen of ten behoeve van het aannemen of ontslag van personeel of de aanbeveling of voordracht van personen. De personen en instanties aan wie justitie gegevens kunnen worden verstrekt zijn opgesomd in het Besluit justitiële gegevens.

Tenslotte kan nog worden opgemerkt dat het vereiste van de verenigbaarheid van de verdere verwerking eveneens van toepassing is op de verwerking van strafvorderlijke gegevens. Op grond van artikel 39c, eerste lid, van de wet, is artikel 3 van de wet van overeenkomstige toepassing op de verwerking van strafvorderlijke gegevens door het College van procureurs-generaal.

Met het vijfde lid wordt de mogelijkheid geboden tot verstrekking van justitiële gegevens aan de bevoegde autoriteit van een andere lidstaat van de Europese Unie of aan een orgaan van de Europese Unie dat is belast met de ondersteuning en versterking van de wetshandhavingsdiensten van de lidstaten bij de voorkoming, bestrijding, onderzoek en vervolging van zware criminaliteit en dat bij algemene maatregel van bestuur is aangewezen. Hiervoor kan worden gedacht aan Europol of Eurojust. Zoals in het algemeen deel van deze toelichting reeds is opgemerkt, voorziet het kaderbesluit niet in zelfstandige verplichtingen tot het verstrekken van gegevens aan andere lidstaten. Een verplichting daartoe kan echter wel onderdeel vormen van een rechtsinstrument op basis van Titel V VEU oud. Over de uitwisseling van gegevens uit het strafregister tussen de EU-lidstaten is onlangs vastgesteld het kaderbesluit 2009/315/JBZ van de Raad van de Europese Unie van 26 februari 2009 betreffende de organisatie en inhoud van uitwisseling van gegevens uit het strafregister tussen de lidstaten (PbEU L 93/23). Dit kaderbesluit voorziet in de verplichting tussen de lidstaten om de andere lidstaten zo spoedig mogelijk in kennis te stellen van de op haar grondgebied uitgesproken veroordelingen jegens onderdanen van die andere lidstaten, zoals zij in het strafregister zijn vermeld (art. 4, tweede lid). Indien voor een strafrechtelijke procedure jegens een persoon of voor een ander doel gegevens uit het strafregister van een lidstaat zijn vereist, kan een centrale autoriteit van die lidstaat zich tot de centrale autoriteit van een andere lidstaat wensen met het verzoek om gegevens en desbetreffende informatie uit het strafregister (artikel 6, eerste lid). Mede met het oog op de verplichtingen van het kaderbesluit dataprotectie is het aangewezen om een expliciete rechtsgrondslag voor de verstrekking van justitiële gegevens aan andere landen in de wet op te nemen. Voorheen was dit geregeld in artikel 8, zesde lid, van de wet, dat de mogelijkheid bood bij algemene maatregel van bestuur te bepalen welke gegevens ingevolge het internationale recht worden verstrekt aan andere rechterlijke ambtenaren dan bedoeld in het eerste lid.

Het kaderbesluit dataprotectie geeft tevens regels over de waarborgen voor de verstrekking van justitiële gegevens aan andere EU-lidstaten. Voorgesteld wordt deze regels integraal te laten gelden voor de verstrekking van justitiële gegevens aan het buitenland. Dit betreft de in het zevende lid vastgelegde vereiste van het toereikend beschermingsniveau voor de voorgenomen gegevensverwerking.

In het achtste lid is de mogelijkheid opgenomen om, onder bepaalde voorwaarden, van dit vereiste af te wijken. De mogelijkheid tot afwijking geldt uitsluitend de verstrekking van justitiële gegevens aan landen of organen die niet tot de Europese Unie behoren. Voor de lidstaten en de organen van de Unie wordt van een toereikend beschermingsniveau uitgegaan omdat tenminste de regels van het kaderbesluit dataprotectie van toepassing zijn op de gegevensverwerking in de andere lidstaten. Voor Europol en Eurojust gelden specifieke regels die minstens een gelijk hoog niveau van gegevensbescherming waarborgen als het niveau dat voortvloeit uit het kaderbesluit dataprotectie. Voor de toelichting op deze bepaling kan overigens worden verwezen naar de toelichting op artikel I, onderdeel E.

Op 7 mei 2009 wees het Hof van Justitie van de Europese Gemeenschappen arrest in een uit Nederland afkomstige prejudiciële zaak (C-553/07), hierna ook te noemen: de zaak Rijkeboer. Dit arrest heeft betrekking op de verstrekking van persoonsgegevens door gemeenten op grond van de Wet gemeentelijke basisadministratie persoonsgegevens (Wet GBA). Op grond van artikel 103 Wet GBA heeft het college van burgemeester en wethouders de verplichting aan de betrokkene desgevraagd mee te delen welke hem betreffende persoonsgegevens in het jaar voorafgaande aan het verzoek aan welke afnemers of derden zijn verstrekt. Rijkeboer verzocht het college van B&W van Rotterdam op opgave te doen van alle over hem verstrekte informatie uit de GBA aan derden in de twee jaren daarvoor. Het college van B&W wees dit verzoek slechts gedeeltelijk toe door hem informatie te verstrekken over de periode van één jaar daarvoor. Dit vanwege de opzet van het geautomatiseerde systeem, waaruit gegevens ouder dan een jaar automatisch worden verwijderd.

Op verzoek van de Afdeling bestuursrechtspraak van de Raad van State heeft het Hof zich gebogen over de verhouding tussen de bewaartermijn van een jaar en het in de artikelen 12 en 13 van de eerdergenoemde EU-privacyrichtlijn neergelegde recht op inzage en correctie. Aan het Hof is de vraag voorgelegd of ingevolge richtlijn 95/46/EG (privacyrichtlijn) het recht van een persoon op toegang tot informatie over ontvangers of categorieën van ontvangers van hem betreffende persoonsgegevens en over de inhoud van de meegedeelde gegevens kan worden beperkt tot de periode van één jaar voorafgaand aan zijn verzoek om toegang. Het Europese Hof overwoog (rechtsoverwegingen 64 tot en met 70) dat lidstaten de bevoegdheid hebben dergelijke termijnen vast te stellen, mits deze een juist evenwicht vormen tussen de mogelijkheden die betrokkenen moeten hebben om hun inzage- en correctierechten volledig uit te kunnen oefenen en de lasten die op de verantwoordelijken rusten om alle informatie te bewaren. Het Hof toonde zich kritisch over de termijn van een jaar omdat die termijn naar het oordeel van het Hof erg kort is in vergelijking met de bewaartermijn die geldt voor de onderliggende gegevens.

Naar aanleiding van de uitspraak van het Europese Hof van Justitie in het Rijkeboer-arrest kan het volgende worden opgemerkt. In de privacyrichtlijn is het recht voor de betrokkene vastgelegd om informatie te krijgen over de ontvangers of categorieën van ontvangers aan wie de gegevens worden verstrekt, evenals het recht op rectificatie, uitwissing of afscherming van de gegevens (art. 12, eerste lid, onderdeel a en onderdeel b). Deze rechten voor de betrokkene zijn ook terug te vinden in de het kaderbesluit dataprotectie (artikel 17, eerste lid, onderdeel a, en 18, eerste lid). In de richtlijn is aanvullend aan de betrokkene jegens de verantwoordelijke het recht toegedeeld tot kennisgeving van elke rectificatie, uitwissing of afscherming aan derden aan wie de gegevens zijn verstrekt, tenzij zulks onmogelijk blijkt of onevenredig veel moeite kost. In het kaderbesluit dataprotectie is dit recht voor de betrokkene niet terug te vinden. Dit betekent dat er op grond van het kaderbesluit geen verplichting bestaat tot kennisgeving aan derden van de verbetering, uitwissing of afscherming van gegevens.

In de Wet justitiële en strafvorderlijke gegevens is vastgelegd dat elke verstrekking van justitiële gegevens wordt vastgelegd en tenminste een jaar wordt bewaard (art. 19, eerste lid, WJSG). Indien justitiële gegevens zijn verbeterd, aangevuld, verwijderd of afgeschermd dan wordt aan de personen of instanties, aan wie de gegevens in het jaar voorafgaand aan net verzoek en in de sinds dat verzoek verstreken periode de betrokken gegevens zijn verstrekt, zo spoedig mogelijk mededeling gedaan van deze verbetering, aanvulling, verwijdering of afscherming, tenzij dit onmogelijk blijkt of een onevenredige inspanning kost.

In een nieuw derde lid bij artikel 39c wordt de verwerking van gevoelige persoonsgegevens geregeld. Dit zijn persoonsgegevens over iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging. Het kaderbesluit bepaalt dat de verwerking van deze gegevens uitsluitend geoorloofd is wanneer dit strikt noodzakelijk is en in de nationale wetgeving adequate garanties worden geboden.

Tot nu toe is in de wet geen bepaling opgenomen over de verwerking van gevoelige persoonsgegevens. De Wet politiegegevens bevat wel een dergelijke bepaling (art. 5 WPG). Het is wenselijk om ook in de WJSG een bepaling op te nemen over de verwerking van gevoelige gegevens. Het is immers heel wel denkbaar dat dergelijke gegevens in een strafdossier worden opgenomen. Bijvoorbeeld als het gaat om criminaliteit jegens personen in verband met hun seksuele achtergrond of terroristische activiteiten die worden gemotiveerd vanwege de geloofsovertuiging van de betrokken daders. Ook kan het voorkomen dat het ras van een persoon een rol speelt in de beoordeling van de uitkomsten van een DNA-onderzoek. Voor de voorgestelde bepaling is nauw aangesloten bij die van de Wet politiegegevens. De verwerking van gevoelige persoonsgegevens is slechts toegestaan als dit voor het doel van de verwerking onvermijdelijk is. Daarmee wordt invulling gegeven aan het vereiste van het kaderbesluit, dat de verwerking strikt noodzakelijk is. Daarnaast vereist het kaderbesluit dat in de nationale wetgeving adequate garanties worden geboden. De wet bevat deze garanties, in de vorm van een strikte doelbinding, een streng criterium voor de verwerking van de gegevens (onvermijdelijk), de toegang tot de gegevens (de toegang is voorbehouden aan personen die onder het beheer van de Minister ressorteren) en de rechtswaarborgen van de betrokkene. De betrokkene kan bij het College van procureurs-generaal verzet aantekenen wegens bijzondere persoonlijke omstandigheden (art. 39q). De beslissing op het verzet geldt als een beschikking in de zin van artikel 1:3 van de Awb, waartegen bezwaar en beroep mogelijk is. Daarnaast kan de belanghebbende zich tot het CBP wenden met het verzoek te bemiddelen of te adviseren in zijn geschil met de verantwoordelijke (art. 47 Wbp).