Nr. 2 VERSLAG VAN EEN ALGEMEEN OVERLEG

De vaste commissie voor Veiligheid en Justitie1 en de vaste commissie voor Binnenlandse Zaken2 hebben op 15 september 2011 overleg gevoerd met staatssecretaris Teeven van Veiligheid en Justitie en met minister Donner van Binnenlandse Zaken en Koninkrijksrelaties over:

• – de brief van de staatssecretaris van Veiligheid en Justitie d.d. 29 april 2011 over het kabinetsstandpunt inzake de verwerking van gegevens en de bescherming van gegevens en een nadere visie op de Europese en internationale ontwikkeling op het gebied van gegevensverwerking (32 761, nr. 1).

Van dit overleg brengen de commissies bijgaand geredigeerd woordelijk verslag uit.

Voorzitter: De Roon

Griffier: Hessing-Puts

De heer Recourt (PvdA): Voorzitter. Uitgangspunt voor de PvdA is het gegeven dat iedere burger eigenaar is van zijn eigen persoonsgegevens. Alleen met zijn uitdrukkelijke toestemming kan een derde daar wat mee doen. Die toestemming kan ook weer worden ingetrokken. Dat gegeven moet doordrongen zijn in alle regelgeving rond privacy, publiek en privaat. We leven in een digitale wereld, waarin we geen overzicht meer hebben waar en bij wie onze persoonsgegevens worden bewaard. De overheid moet zo goed mogelijk borgen dat onze privacy niet meer worden geschonden dan strikt noodzakelijk. Dat moet zij in de eerste plaats doen voor haar eigen handelen. De overheid verwerkt en de actualiteit beschermt zeer grote hoeveelheden vertrouwelijke gegevens. In de tweede plaats heeft de overheid de opdracht om het omgaan met vertrouwelijke gegevens door bedrijven goed te regelen. Zo moet de overheid ervoor zorgdragen dat bedrijven alleen na uitdrukkelijke toestemming commercieel gebruikmaken van persoonsgegevens.

Eerst iets over die private bedrijven. De PvdA wil dat socialemediasites nadrukkelijk en duidelijk toestemming vragen voor het gebruik van privacygevoelige gegevens, dus niet stiekem ergens iets ontvinken. Wij vragen de minister of hij dit uitgangspunt deelt en hier actief op gaat toezien. Niet in de zin van zelfregulering, maar van accountability. Gewoon de waakhond laten controleren. Persoonsgegevens leveren de Googles en Linkedln’s van deze wereld namelijk veel geld op. Met uitdrukkelijke toestemming, informed consent, zoals de wet dat vereist, is dat geen probleem. Geen stiekem gedoe meer en geen diefstal van persoonsgegevens. Verder vraag ik de minister of hij een collectieve actie mogelijk wil maken, zodat de burgers of de belangenbehartigers gezamenlijk de mogelijkheid krijgen schadevergoeding te halen bij de civiele rechter bij privacyschending. Dan krijgen burgers zelf ook tanden om te bijten.

Artikel 5 van de Wet bescherming persoonsgegevens (Wbp) bepaalt dat de ouders van kinderen tot 16 jaar toestemming moeten geven voor het verstrekken van persoonsgegevens. Kan de minister of staatssecretaris mij zeggen hoe de wet op dit punt wordt gehandhaafd? Is de minister bereid het zo te regelen, als handreiking in de goede richting, dat als voorwaarde voor het verstrekken van persoonlijke gegevens van minderjarigen via een e-mail apart toestemming van de ouders wordt gevraagd? Die toestemming kan dan niet via de sites zelf worden geven, maar moet via een aparte e-mail worden gegeven. Zo weten ouders op welke sociale netwerken en mediasites hun kinderen acteren. Verder wil mijn fractie dat de overheid regels stelt, zodat alleen vriendjes – dus personen die de kinderen kennen en die ze actief toestemming hebben gegeven voor toegang – toegang hebben tot het profiel van die minderjarigen. Een kind zit niet te wachten op een hijgerige 60-jarige op Hyves. Dat is privacy by design. Wil de overheid erop toezien dat private partijen het zo organiseren dat ouders worden geholpen bij de opvoeding en dat kinderen verstoken blijven van aandacht op internet van volwassenen die niet deugen? Wij overwegen een motie op dit punt.

Dan ga ik naar de publieke sector, de meldplicht datalekken. Wij steunen het voornemen van het kabinet om de meldplicht bij de toezichthouders in te stellen als gevolg van ontoereikend gebleken beveiligingsmaatregelen. Een actuele discussie. Ik laat het hierbij omdat er een apart algemeen overleg over zal plaatsvinden. Vanmorgen was er van alles op het nieuws over veertien incidenten, de veiligheid van de Staat enz. Ik vraag de minister of staatssecretaris of hij hier wellicht wat kou uit de lucht kan halen.

Wat betreft bestuurlijke beboeting voor privacyschendingen bij de toezichthouder zelf vinden wij het prima dat het College bescherming persoonsgegevens (CBP) deze boetetanden krijgt naast de last onder dwangsom. Het is een volgende stap in het optuigen van een effectieve privacywaakhond.

Dan kom ik op het belangrijkste stuk, wat mijn fractie betreft. Wij vragen het CBP steeds meer, maar geven hem steeds minder. Het CBP valt onder een generieke korting van 7%. Ik vraag de minister of staatssecretaris hoe het CBP die extra ambitie moet realiseren met minder middelen. Meer concreet: hoeveel onderzoeken kan het CBP jaarlijks nog uitvoeren als de bezuinigingen plus die extra taken zijn gerealiseerd?

Het kabinet wil de termijn voor de bewaring van camerabeelden van particuliere camera's gelijkmaken aan de termijn voor de bewaring van beelden die door camera's van gemeenten worden opgenomen. Dat betekent concreet dat de bewaartermijn wordt opgetrokken van 24 uur naar vier weken. De PvdA heeft daar geen bezwaar tegen, mits gegarandeerd wordt dat die gegevens niet op straat komen te liggen. Nu gebeurt het te vaak dat bewijs wordt gewist.

Bij privacy gaat het om het zoeken naar balans en proportionaliteit. Maatregelen die ingrijpen in het leven van burgers moeten niet verdergaan dan noodzakelijk. Dit kabinet laat zich in het eerste jaar kennen als een kabinet dat erg praktisch is. Rechtsbeschermende elementen die in de weg zitten, zoals het Europese Hof voor de Rechten van de Mens (EHRM) en het verdrag erachter, moeten aan de kant. Ik hoop in de antwoorden van de minister of staatssecretaris te horen dat privacy niet wordt gezien als zo'n lastig obstakel, maar als wezenlijk en essentieel onderdeel van de samenleving. Ik hoop dat dit kabinet hier de balans weet te vinden. De PvdA zal het kabinet kritisch volgen op dit punt.

De heer Schouw (D66): Voorzitter. Vrijheid en zelfontplooiing staan centraal en bescherming van de persoonlijke levenssfeer is daarbij cruciaal. Privacy is gelukkig geen besmet woord meer, maar hoger op de maatschappelijke en politieke agenda gekomen. D66 is daar blij mee. De vraag is of de Notitie privacybeleid van dit kabinet wel de versterking van de bescherming van de persoonlijke levenssfeer brengt, waar we op hadden gehoopt. Naar de opvatting van mijn fractie is deze notitie eigenlijk niet meer dan een likje oude margarine op een al bestaande bruine boterham. Wat zijn nou de nieuwe maatregelen die de privacy echt gaan beschermen? Mijn constatering is dat de regering op dit punt toch een beetje achteroverleunt en te vrijblijvend opereert in het privacydossier. Ik mis ook een heldere en krachtige visie. Ik zal een aantal onderwerpen uit de notitie langslopen.

Eerst de meldplicht datalekken. Dat is een welkom voorstel, hoewel het wat lang geduurd heeft. Het zou medio 2011 in consultatie gaan en ik vraag het kabinet of dat gelukt is. Het is belangrijk om het tempo erin te houden, zeker gezien het feit dat het vorige kabinet al een verankering in de Wbp had toegezegd. Wat is precies de reikwijdte van die meldplicht? Gaat het niet alleen om het verlies van persoonsgegevens, maar ook om diefstal van die gegevens? Hoe zou die beoogde meldplicht uitwerken als je die bijvoorbeeld zou leggen langs de casus DigiNotar? Hoe zou het scenario van de staatssecretaris eruitzien als zijn wet op dit punt al in werking was getreden? Ik begrijp uit het stuk dat zowel betrokkene als de toezichthouder wordt ingelicht. Ik vraag de staatssecretaris of er geen poortwachtersrol voor de toezichthouder is. Is die toezichthouder steeds een en dezelfde of is die toezichthouder sectoraal georganiseerd?

Ik lees dat er voor de handhaving sprake zal zijn van punitieve sancties. Kan de staatssecretaris aangeven of dit betekent dat buiten het domein van de bestuurlijke boete zal worden gekeken? Hoe zit het met de Europese dimensie hiervan? Wil dit kabinet ook in Europees verband zo'n meldplicht? Anders moeten bedrijven straks misschien aan meer dan twintig verschillende regimes voldoen. Welke landen hebben al zo'n meldplicht ingevoerd?

De andere kant van het verhaal is het voorkomen van een datalek. Hoe beoordeelt de staatssecretaris de huidige stand van zaken met betrekking tot de handhaving en sanctionering van misbruik van persoonsgegevens? Zitten we daar met z'n allen voldoende adequaat bovenop, bijvoorbeeld bij het gebruik voor doeleinden buiten het domein van de doelbinding en in gevallen van grove nalatigheid of diefstal van persoonsgegevens? Welke mogelijkheden zijn er om direct misbruik te straffen, privaatrechtelijk of via de onrechtmatige daad? Zijn die straffen voldoende afschrikwekkend of vertrouwt de staatssecretaris hiervoor uitsluitend op de nieuw te creëren boetebevoegdheid van het CBP? Dan hebben we nu ter voorkoming van die datalekken eigenlijk geen waterdicht controlesysteem. Dan kan er van alles en nog wat gebeuren en als er wat gebeurt schreeuwen we moord en brand. Hoe preventief is het beleid op dat punt?

Is het kabinet van plan het CBP op te tuigen als een strenge waakhond, zoals wij noodzakelijk vinden voor het beschermen van de privacy? Er komen meer taken en bevoegdheden bij, maar het budget wordt steeds minder. Met minder geld kun je dit allemaal niet waarmaken, dus wij vrezen dat als het kabinet zo doorgaat de waakhond al gauw een schoothondje wordt. Wij verbazen ons ook over het feit dat het kabinet bezwaar en beroep wil openstellen tegen een definitief rapport van bevindingen van het CBP. Op tal van plekken perkt het kabinet inspraak en bezwaar in, maar hier wordt het juist uitgebreid. Het is voor mij een raadsel waarom dat gebeurt.

De belangrijke motie-Franken brengt tot uitdrukking dat de Notitie privacybeleid niet voldoende is in de ogen van de Eerste Kamer. Hoe gaat het kabinet uitvoering geven aan de motie-Franken? Kan het kabinet toelichten waarom het het privacy impact assessment niet verplicht wil stellen? Ik heb het idee dat de samenleving daarop zit te wachten.

De heer Van Raak (SP): Ik ben blij dat hier niet de heer Brinkman zit, maar de heer Elissen die kritische vragen stelt over en opkomt voor de privacy. Dat was bedoeld als compliment.

Door die wet Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act of 2001 (USA PATRIOT Act) – alleen die naam al – ben je als je kritische vragen stelt over privacy geen goede vaderlander, geen goede Amerikaan. Klopt het dat de minister of staatssecretaris eisen wil stellen aan de aanbesteding? Bijvoorbeeld voor bedrijven als Microsoft of Google, die een server hebben staan in de VS en die mogelijk informatie over Nederlandse burgers aan de Amerikaanse overheden doorgeven, ook als wij dat in Nederland niet willen? Kloppen de verhalen dat de regering eisen wil stellen aan de aanbesteding, zodat dit soort bedrijven niet meer in aanmerking komt voor zo'n aanbesteding of die in ieder geval niet meer kan winnen? Het zou een heel grote winst zijn als wij kunnen afspreken dat we soeverein zijn in Nederland en als als wij in Nederland de privacy van onze burgers beschermen een ander land er niet met de gegevens van onze burgers vandoor kan gaan. Om wat voor soort gegevens gaat het eigenlijk in die USA PATRIOT Act? Gaat het om vliegbewegingen of telecomverkeer? En wat gebeurt er met die data? Wordt dat gebruikt voor datamining? Is dat de reden waarom er mogelijk Nederlanders staan op de terroristenlijst van Amerika, die al tussen de 500 000 en miljoen mensen bevat? Die lijst is op een idiote manier tot stand gekomen. Dat vindt onze regering ook. Staan daar Nederlanders op en wat betekent dat voor die mensen? Ik hoop dat de regering hier vandaag kan mededelen dat de aanbestedingsregels worden aangepast.

We hebben het toezicht op de privacy min of meer uitbesteed aan het CBP. Dat is een goed college en dat krijgt in de toekomst veel werk te doen. Waarom gaat de regering daarop bezuinigen?

De SP-fractie heeft al lang geleden gevraagd waarom er niet meer sancties en boetes zijn. Grote bedrijven die de privacy schenden, lachen om die paar duizend euro boete die ze krijgen. In november 2009 heeft de regering al toegezegd dat het sanctiearsenaal en de boetes zouden worden uitgebreid. Ik vraag de staatssecretaris de schenders van privacy eens aan te pakken. Waar blijft die wet? Waar blijven de sancties en boetes?

Wij hebben vragen over het feit dat de kans bestaat dat het CBP wordt kapot geprocedeerd, doordat bedrijven straks bezwaar en beroep kunnen aantekenen tegen het rapport van bevindingen, de feitenverzameling. Ik vind het goed als mensen in beroep gaan tegen conclusies, maar niet tegen het feitenmateriaal. Dat kan door grote bedrijven, waar we hier mee te maken hebben, aangegrepen worden voor oneindige rechtszaken. Waarom wil de regering bezwaar en beroep mogelijk maken tegen het rapport van bevindingen? Aan de andere kant zou het, als het CBP straks meer sancties en boetes kan opleggen, misschien wel goed zijn om die bevindingen openbaar te maken, net als de conclusies en de sancties. Volgens mij levert het CBP goed werk, dus dat kan geen probleem zijn.

Vroeger konden mensen naar het CBP met klachten en vragen over hun persoonlijke situatie. Daar heeft het college nu het geld en de mensen niet meer voor, want ze moeten van de regering zo veel doen en er wordt ook nog bezuinigd. Er is wel een website, www.mijnprivacy.nl, maar dat is toch niet hetzelfde. Er moet een persoon zijn waar je heen kunt als je vragen hebt. Vroeger zat die persoon bij het CBP, maar dat is ook de toezichthouder. Het is een beetje raar om te klagen bij de toezichthouder. Waar kunnen mensen naartoe met vragen, bijvoorbeeld als ze op die rare lijst van de Amerikanen staan, die door datamining tot stand is gekomen? Kunnen ze met de minister of staatssecretaris bellen? Waar kunnen ze anders heen?

Mevrouw Thieme (PvdD): Voorzitter. Privacy is een recht dat steeds meer en steeds vaker geschonden wordt. De geesten worden daar rijp voor gemaakt. In een wereld waar staatsvijanden en cybercriminelen een bedreiging vormen voor al onze verworvenheden, inclusief de privacy, zullen veel mensen openstaan voor overheidsmaatregelen die de privacy inperken. Dat is ten onrechte. We moeten ons realiseren dat we in een tijd leven waarin Google ons surfgedrag te gelde maakt, TomTom informatie over ons gaan en staan te koop aanbiedt en camera's op straat vastleggen op welke momenten we waar zijn, ondersteund door OV-chipkaarten die dat kunnen bevestigen. In een land waar de huidige vicepremier in een vorige functie meende te kunnen zeggen dat hij liever tien onschuldigen in de gevangenis ziet dan één schuldige op straat, moeten we waakzaam zijn bij het bewaken van grondrechten die al te gemakkelijk met een beroep op bijzondere omstandigheden buiten werking worden gesteld. Juist nu veel burgers in paniek zijn over het financiële noodweer dat is veroorzaakt door politiek opportunisme is het zaak om geen misbruik te maken van die omstandigheden. We moeten de privacy blijven zien als een grote verworvenheid in de westerse beschaving en los daarvan als een onvervreemdbaar grondrecht. In de Eerste Kamer is de motie-Franken aangenomen met criteria waaraan het kabinet zou moeten voldoen bij het toepassen van privacybeperkende maatregelen. Te weinig komt daarvan terug in de Notitie privacybeleid van het kabinet en wij betreuren dat. Het is niet alleen de ruime meerderheid waarmee de motie-Franken werd aangenomen, maar ook de denktrant van waaruit geschreven werd, die vraagt om navolging. Kan het kabinet toezeggen dat de motie-Franken met nadruk en integraal zal worden uitgevoerd wanneer sprake is van privacybeperkende maatregelen?

Om te beginnen zou er een meldplicht dienen te worden ingevoerd ingeval van datalekken. Wanneer lekken worden vastgesteld, dienen betrokkenen daarvan onverwijld op de hoogte gebracht te worden. Vanuit een centraal meldpunt met een serieus mandaat kunnen de noodzakelijke maatregelen getroffen worden ingeval van datalekken. Het fiasco met DigiNotar is een goed voorbeeld, waarmee we leergeld betaald zouden moeten hebben. Als er maar enige dreiging is dat persoonsgegevens in verkeerde handen kunnen vallen, dienen betrokkenen en de overheid via genoemd meldpunt op de hoogte te worden gebracht. Is de regering bereid om een dergelijk meldpunt op korte termijn in te stellen?

Verder dient er een serieus sanctiebeleid te worden gevoerd, dat overtredingen van de privacywetgeving zwaar bestraft, zozeer dat potentiële overtreders niet snel doorgaan met hun plannen op basis van gecalculeerd risico. Het recht op inzage en verwijdering van privacygevoelige gegevens behoort daar onderdeel van uit te maken. Het meldingsregister van het CBP moet gehandhaafd worden en vormt een onmisbaar instrument in de opsporing van misstanden.

Het is te prijzen dat het kabinet de wetgeving rond de privacy wil aanpassen aan de laatste stand van de techniek en de laatste opvattingen op het gebied van privacy. Maar gewaakt dient te worden tegen inperking van vrijheden van grondrechten, die in afgelopen decennia zwaar bevochten zijn. Het CBP en de burgerrechtenbeweging Bits of Freedom moeten met nadruk betrokken worden bij de totstandkoming van nieuwe wetgeving, omdat zij bij uitstek expertise op dit terrein hebben opgebouwd. Ook is het werk van het college dermate belangrijk dat haar gezag niet moet worden uitgehold, zoals Jacob Kohnstamm, voorzitter van het CBP, constant aangeeft. Het gezag van het CBP dient gewaarborgd te worden met serieuze sancties die zelfstandig opgelegd kunnen worden, zoals nu reeds het geval is bij andere toezichthouders. Graag hoor ik van het kabinet of en in hoeverre het bereid is om het CBP en Bits of Freedom met meer nadruk te betrekken bij nieuwe wetgeving op het terrein van privacybeleid. In hoeverre is dat al gebeurd? Is het kabinet met onze fractie van mening dat privacy nooit mag worden ingeruild om gevoelens van onveiligheid te compenseren c.q. te vervangen door een andere onveiligheid?

Mevrouw Van Toorenburg (CDA): Voorzitter. In het regeerakkoord wordt op verschillende plaatsen krachtig ingezet op meer aandacht voor informatiebeveiliging en bescherming van persoonsgegevens. Laat mij meteen zeggen dat dat soort passages ons zeer aanspreekt. Er staan wel noodzakelijke maatregelen in het regeerakkoord die ons meer pijn doen. Het is goed dat wij vandaag de breed gesteunde motie-Franken in herinnering roepen. Alleen de VVD steunde deze motie niet in de Eerste Kamer. Wij willen graag van het VVD-duo van vandaag horen hoe de motie-Franken bij deze heren ligt. De motie-Franken is een CDA-motie die door de VVD niet werd gesteund. Graag een reactie hierop van de bewindspersonen.

Ik wil allereerst ingaan op het cameratoezicht. Dit is een kwestie van aanpak door decentrale overheden en particulieren. Het is heel goed dat het kabinet voornemens is om de bewaartermijnen voor de beelden gelijk te trekken: nu is het voor de overheid 4 weken en voor particulieren 24 uur. Hierdoor ontstaat minder tijdsdruk en meer ruimte voor burgers en bedrijven om af te wegen of zij de beelden wensen te gebruiken voor het verbeteren van hun eigen veiligheid of voor het doen van aangifte. Heel actueel in dezen is de discussie wat particulieren met deze beelden mogen doen. Concreet: mag een ondernemer die beelden heeft van een overval op zijn zaak deze op internet zetten of moet hij dan zwaar worden beboet? Wat het CDA betreft is het de omgekeerde wereld om een ondernemer een boete op te leggen, omdat hij de privacy van zijn overvallers zou hebben geschonden. Die schending hadden de overvallers namelijk vrij gemakkelijk kunnen voorkomen door de ondernemer niet te overvallen.

Mevrouw Van Toorenburg (CDA): Daar ben ik het helemaal mee eens. Ik kan me niet anders voorstellen dan dat de staatssecretaris daar al mee begonnen is. Hij was natuurlijk ook verrast door de felheid van de discussie in het reces. Ik ben ervan overtuigd dat mensen op het ministerie al kijken hoe ze dat kunnen oplossen. Zo niet, dan gaan wij de staatssecretaris een beetje opjagen. Als het CBP al een boete zou willen geven voor de schending van privacy dan denken wij aan situaties waarin de Googles, de Hyves of de Facebooks van deze wereld privégegevens van burgers zouden verkopen. Financieel gemotiveerd gebruik door machtige ondernemingen kan wat het CDA betreft fors beboet worden. Dan mogen ferme tikken op de vingers volgen.

Wat betreft de nummerplaatherkenning lezen we dat de minister een wetsvoorstel in consultatie heeft gegeven. We begrijpen dat er een solide regeling komt voor het bewaren van kentekengegevens voor de opsporing van strafbare feiten. Maar de actualiteit van de krantenlezer is dat men in Amsterdam nummerplaatlezing boven de snelweg gaat gebruiken om mensen te vinden die nog een boete open hebben staan of gezocht worden. Een soort digitale slotgracht. Wat kan er met die gegevens en hoe worden die bewaard? Tegelijkertijd weten we dat die snelwegschutter in de buurt van Rotterdam maar niet gevonden wordt omdat de camerabeelden soms niet uitgelezen kunnen worden. Hoe ver gaan we daarin? Wat mag wel en wat mag niet? Wat het CDA betreft, gaat wat in Amsterdam gebeurt heel ver, maar tegelijkertijd zint het ons niet dat we in Rotterdam geen goede oplossing hebben. Graag hoor ik van dit kabinet een heldere visie over hoe we daar het beste mee kunnen omgaan.

Tot slot de verbetering van de bescherming van de persoonsgegevens. Het is hoog tijd dat er een verplichting wordt ingesteld om in gevallen van verlies, diefstal of misbruik van persoonsgegevens melding te doen bij de toezichthouder. Dit onderwerp krijgt momenteel terecht alle aandacht. DigiNotar had overigens contractueel die meldplicht al lang. We hebben het over een wettelijke meldplicht, maar feitelijk was die in de casus die zoveel onrust veroorzaakt ook al aanwezig. Jammer dat het kabinet op dit punt een vooruitziende blik had – kijk maar naar de Notitie privacybeleid – maar dat het publiek de indruk krijgt dat men eindelijk de put dempt, nu het kalf verdronken is. Wat het CDA betreft moet de meldplicht snel wet worden met – daar wel – afschrikwekkende boetes van Neelie Kroes-achtige proporties, zoals door de directeur van het CBP geïntroduceerd.

Wij hebben twijfels bij de noodzaak om bezwaar en beroep aan te kunnen tekenen tegen het rapport van bevindingen van het CBP en wij hebben dezelfde twijfels ten aanzien van die openbaarmaking. Graag het commentaar van de bewindslieden hierop.

De heer Elissen (PVV): Voorzitter. Ik zit nog bij te komen van het fijne compliment van de heer Van Raak. Ik kan hem geruststellen: ook voor de PVV is privacy van groot belang. Een overheid heeft gegevens van burgers nodig om te kunnen functioneren, maar deze gegevens mogen uiteraard niet in verkeerde handen vallen. Echter, uiteindelijk kan ieder systeem gekraakt worden. Dat is wel gebleken. De vraag is dus niet alleen hoe we moeten voorkomen dat de databanken gekraakt worden, maar vooral hoe we de schade kunnen beperken wanneer dit gebeurt. Het beheren en beschermen van gegevens is te vergelijken met rampenbestrijding en crisisbeheersing. Binnen de rampenbestrijding wordt vaak gebruik gemaakt van de veiligheidsketen. Hiermee wordt het onderwerp integraal benaderd en ik stel voor om dat ook met de privacy te doen. Ik vraag de staatssecretaris hoe hij daartegen aankijkt.

Ik licht dit kort toe en begin met proactiviteit. Heeft de overheid bepaalde gegevens van burgers wel nodig? Zo nee, sla ze dan niet op, zodat ze ook niet gestolen kunnen worden. Als de overheid vervolgens alleen de gegevens opslaat die echt nodig zijn, is het belangrijk om ondubbelzinnig vast te stellen en vast te leggen waarvoor de gegevens gebruikt mogen worden. Hiermee voorkomen we dat gegevens worden gekoppeld, verrijkt of gedeeld op een manier die misbruik of oneigenlijk gebruik in de hand werkt. Daarnaast moet de beveiliging natuurlijk op orde zijn en dienen we ons goed voor te bereiden op scenario’s waarbij datalekken ontstaan of systemen gekraakt worden. Ik denk hierbij aan een goed georganiseerde organisatie met een duidelijke en eenduidige commandostructuur. Als het misgaat, dient er direct opgetreden te worden. Voor repressie is echter goede preparatie noodzakelijk en het debacle rondom DigiNotar heeft ons geleerd dat we kennelijk nog niet zover zijn. Wie heeft bijvoorbeeld de eenkoppige leiding: minister Opstelten, minister Donner of staatssecretaris Teeven? Of zit Iran erachter en is het cyberwar, waardoor de minister van Defensie de leiding heeft? Ik vraag de staatssecretaris hoe hij hier als beschermer van de privacy tegen aankijkt.

De laatste schakel van deze veiligheidsketen, die ik het best de privacyketen kan noemen, wordt gevormd door de nazorg. Een deugdelijke evaluatie waarin bezien kan worden welke punten verbetering behoeven, zit in de pijplijn, dus daar ga ik verder niet op in.

Naar aanleiding van deze metafoor vraag ik de staatssecretaris of hij als portefeuillehouder privacy een rol gaat spelen bij een integraal beleid van de gehele Nederlandse overheid om de gegevens van burgers te beschermen en de privacy niet verder aan te tasten dan noodzakelijk. Ik vraag hier met name naar de relatie en verbinding tussen enerzijds integrale benadering van privacy en de nationale cybersecuritystrategie.

Een ander belangrijk punt is de bescherming van gegevens van burgers die de overheid in beheer heeft. Is de staatssecretaris het met de PVV eens dat geen enkel onderdeel van de overheid – en dan bedoel ik uiteraard ook agentschappen en zbo’s – gegevens van Nederlandse staatsburgers zou mogen opslaan buiten de grenzen van het Koninkrijk der Nederlanden? Is hij het daarnaast met de PVV eens dat als de overheid gegevens van Nederlandse staatsburgers beheert en bij de beheertaak gebruikmaakt van externe bedrijven, dit uitsluitend Nederlandse bedrijven mogen zijn? Zo nee, waarom niet en hoe gaat de staatssecretaris dan uitsluiten dat gegevens van Nederlanders in handen vallen van buitenlandse mogendheden? Hoe kijkt de staatssecretaris er tegenaan om privacy by design verplicht te stellen voor overheidsprojecten?

Dan kom ik op de rol van het CBP en de boetebevoegdheid. Bescherming van privacy is erg belangrijk. Echter, wanneer burgers het slachtoffer worden van criminelen, dan komt het helaas voor dat de politie geen capaciteit heeft om de daders te pakken. Het is van de gekke dat de hardwerkende burger, die dus slachtoffer is en door de overheid niet adequaat wordt geholpen, nogmaals gestraft wordt als hij de daders op internet zet. Deze regering zet nota bene in op een actieve en betrokken burger. Wat de PVV betreft houdt de vrijheid en privacy van een crimineel op waar deze de vrijheid van een andere hardwerkende burger raakt. Het voorstel van de PVV is dat burgers camerabeelden van inbrekers op internet kunnen zetten, mits – en dat is een absolute voorwaarde – ze aangifte doen bij de politie en het beeldmateriaal tevens beschikbaar stellen aan politie en justitie. Hoe kijkt de staatssecretaris daar tegenaan?

Een eventuele boetebevoegdheid voor het CBP, waarmee burgers of ondernemers boetes kunnen krijgen, ziet de PVV op dit moment niet zitten. Wij vragen de staatssecretaris dat nader uit te werken en voorlopig in de ijskast te zetten. Het CBP moet zich wat de PVV betreft ondertussen vooral richten op databeveiliging bij de overheid en grootschalige schending van de privacy door bedrijven. Wij vinden dat er pas een mogelijkheid van bezwaar moet zijn wanneer er een daadwerkelijke uitspraak ligt. Het CBP moet gewoon onderzoeken kunnen uitvoeren.

Voorts is de PVV blij dat er in de Notitie privacybeleid gesproken wordt over de meldplicht datalekken. Wat ons betreft zo snel mogelijk.

De heer Elissen (PVV): We hebben het hier niet over de buurman die de buurvrouw treitert. Dat gaat om smaad en laster en het delict valse aangifte doen. De vraag is wat de PVV betreft niet zozeer of het zou moeten kunnen, maar meer hoe we het moeten regelen. Dat is tevens de vraag aan de staatssecretaris: ziet hij mogelijkheden en zo ja, hoe gaat hij dat regelen, zodat de burgers zelf foto's op internet kunnen zetten en deze tegelijkertijd ter beschikking stellen van politie en justitie? Op deze manier komen de zaken snel in beeld, want voor opsporen en handhaven moeten er geen dagen overheen gaan.

In relatie tot de datalekken ben ik benieuwd hoe de staatssecretaris de meldplicht voor de getroffen burgers ziet in vergelijking met de meldplicht bij een centraal overheidsorgaan. Gaat de staatssecretaris ervoor zorgen dat het voor bedrijven en overheidsorganen altijd duidelijk is wanneer en waar ze moeten melden?

De heer Van der Steur (VVD): Ik heb niet gezegd dat het per definitie door het CBP moet worden gedaan. Gegeven de situatie waarin we ons bevinden is het voor de VVD-fractie van belang dat die securitybreaches worden gemeld. Vervolgens moet bekeken wordt wat een passende reactie daarop is. We moeten niet, in het kader van de bezuinigingsoperatie die we in Nederland uitvoeren, het CBP daarvan uitsluiten.

Toegang tot persoonsgegevens is zowel voor de overheid als voor bedrijven ongelofelijk belangrijk. Daarbij moet vooral worden bijgehouden wie toegang heeft en wie daartoe bevoegd is, maar ook als er sprake is van een eventueel datalek moet je kunnen zien wie op welk moment toegang heeft gekregen tot bepaalde informatie. Dat is privacy by design en dat is de uitvoering die onder andere de VVD-fractie daaraan geeft. De bewaartermijn en het inzagerecht zijn belangrijk en natuurlijk ook de doelbepaling en de horizonbepaling, zoals in de Eerste Kamer door de VVD-fractie is gezegd. Die vond de motie-Franken overbodig maar niet onbelangrijk, in die zin dat die niet hoefde te worden gesteund, omdat de minister destijds in dat debat al heeft aangegeven dat hij de uitgangspunten van die motie onderschreef. De VVD-fractie in de Tweede Kamer onderschrijft de motie en de uitgangspunten net als de VVD-fractie in de Eerste Kamer, met één opmerking, namelijk dat het privacy impact assessment ook op systeemniveau moet worden uitgevoerd en niet alleen op wettelijk niveau. Hoe zit het met het specifieke systeem dat wordt voorgesteld? Wat is daarvan de eventuele impact op de privacy?

De VVD-visie op langere termijn is dat we grote stappen kunnen maken in het vereenvoudigen van de wet- en regelgeving op het terrein van de bescherming van persoonsgegevens waar het gaat om de bagatelkwesties. Als je ziet welke stappen een lokale slager moet zetten om zijn klantenbestand te mailen of een brief te sturen over zijn gehaktaanbieding: dat brengt enorme administratieve lasten met zich mee. Tegelijkertijd hebben we hier allemaal gezegd dat de Googles van onze samenleving stevig aan allerlei voorwaarden moeten voldoen om de privacy te beschermen. Doel in de toekomst – en ik vraag of het kabinet zich daarachter schaart – is aan de ene kant zorgen voor de persoonlijke autonomie van onze inwoners ten aanzien van hun gegevens en aan de andere kant proportionaliteit in wet- en regelgeving. Dat is lastig maar moeten we wel doen, omdat anders heel veel bedrijven last hebben van privacywetgeving die we eigenlijk niet zo bedoeld hebben en tegelijkertijd de echt grote risico's niet voldoende zijn afgedekt.

Dan kom ik op het element van de opsporing. Voor de VVD-fractie is het van essentieel belang dat de opsporingsdiensten – politie, marechaussee, douane – die heel vaak tegen bestaande barrières oplopen op het gebied van privacy, effectief, efficiënt en privacybewust informatie kunnen delen. Dat onderdeel van de brief van de staatssecretaris van 29 april jl. wordt van harte ondersteund.

De VVD-fractie schaart zich tenslotte achter de boetebevoegdheid, met name omdat het voor de grote bedrijven van essentieel belang is dat zij een stok achter de deur hebben. Maar met de slager of andere ondernemer die iemand op internet zet, moet je proportioneel omgaan. Echter, als iemand onterecht op internet wordt gezet, hoort daar wel een boete bij, want daar kom je nooit meer vanaf.

De heer Van der Steur (VVD): Dat is heel gemakkelijk. Ik geef als voorbeeld de Wet Politiegegevens die bepaalt dat er allerlei meldingen moeten worden gedaan als opsporingsinstanties informatie met elkaar willen delen, waarmee men heel veel tijd kwijt is. Een ander voorbeeld is het werkbezoek dat wij recentelijk aan Schiphol hebben gebracht. De douane aan de ene kant en de marechaussee aan de andere kant zijn met exact dezelfde gegevens aan het werk, maar mogen niet met elkaar overleggen en die informatie niet met elkaar delen. Het gaat er uiteindelijk toch om dat mensen die drugs of illegale vreemdelingen Nederland binnenbrengen, worden gepakt?

Dat zijn voorbeelden waarover de VVD-fractie zich ernstig zorgen maakt. Het gaat nog verder: de ketenaanpak mensenhandel in Rotterdam, waar een aantal instanties bij elkaar zit om ervoor te zorgen dat Bulgaarse mensenhandelaren worden gepakt en Bulgaarse meisjes uit die afschuwelijke situatie worden gehaald. Zij delen informatie met elkaar van bijvoorbeeld de Kamer van Koophandel en de woningbouwvereniging, waarbij je je kunt afvragen of dat op dit moment is toegestaan, terwijl tegelijkertijd het effect daarvan heel groot kan zijn.

Minister Donner: Voorzitter. Er is een beperkt aantal vragen aan mij gericht, omdat ik tweede ondertekenaar ben bij de Wbp. Daar is de staatssecretaris in eerste instantie bij betrokken en de tweede plaats ben ik uiteraard betrokken omdat de discussie over de privacy ook de bescherming van de grondrechten raakt. De derde invalshoek zijn het beheer en de ontwikkelingen bij de overheid met betrekking tot gegevensverwerking, meer in het bijzonder de recente ontwikkelingen bij DigiNotar. Ik ga niet specifiek op die situatie in, behoudens op de vragen in hoeverre die situatie geraakt wordt door de meldplicht, die wordt overwogen.

Dank dat wij op deze wijze kunnen discussiëren over het privacybeleid specifiek en in het algemeen. Zoals de Kamer weet is dit ook voorwerp van bespreking geweest in de Eerste Kamer, uitmondend in de motie-Franken. Het is goed om op dat niveau te spreken over de algemene ontwikkelingen. Daar is strikt genomen de beste gelegenheid voor wanneer het kabinet komt met een visie op het WRR-rapport over de i-samenleving. Daarin wordt een aantal structurele vragen aan de orde gesteld, waarop het kabinet zal reageren met de vraag hoe we verder moeten, welke maatregelen er zijn, of de structuren die wij hebben nog passend zijn, hoe we omgaan met de door de WRR gesignaleerde disbalans en of dat leidt tot nog explicietere en concretere beleidsafwegingen. Het is beter om dat in dat kader aan de orde te stellen. Dat laat onverlaat dat hier veel verwezen is naar de motie-Franken. In de Notitie privacybeleid kondigt het kabinet een aantal voornemens aan dat leidt tot versterking van uitgangspunten die in de motie-Franken worden genoemd. Voor een deel wordt de motie-Franken uitgevoerd, omdat in alle gevallen wanneer een voorstel raakt aan de bescherming van de persoonlijke levenssfeer het ook raakt aan de Grondwet. Daarmee is de noodzaak effectiviteit en proportionaliteit per definitie voorwerp van toetsing. Of Nederland, zoals in de VS, een privacy impact assessment moet maken en bij welke wetten dat zou moeten, wordt op dit moment onderzocht. Er wordt bij een aantal van de hier genoemde systemen, zoals kentekenherkenning, een privacy impact assessment gemaakt. Daarnaast wordt bezien in hoeverre de passagiersgegevens op Schiphol samengevoegd kunnen worden. Ook daar wordt een privacy impact assessment gemaakt en op basis van die ervaring wordt bezien in welke gevallen dat opportuun is. In dat kader wordt ook gekeken naar de mogelijkheden om met evaluatie en horizonbepalingen te werken. Het systematisch in alle gevallen een horizonbepaling opnemen, is niet zinvol. De Kamer heeft binnenkort een discussie over de modernisering van de systematiek van de Gemeentelijke Basisadministratie persoonsgegevens (GBA). Het is niet zinvol dit de eerstkomende tien jaar te doen en daarna terug te vallen op papier en kaartjes, dus je moet even kijken waar wel en waar niet. Ik wijs er meer in het algemeen op dat er een opvallende ontwikkeling in de discussie met de Kamer is. Als ik met de Kamer spreek vanuit de invalshoek bedrijfsvoering en overheid kan de Kamer mij niet open genoeg zijn. Ieder gegeven van de overheid moet open en toegankelijk zijn en door iedereen hergebruikt kunnen worden. Hier beluister ik de tegengestelde beweging: alles moet zoveel mogelijk gesloten gehouden worden. Op dat punt zal er een zekere balans gevonden moeten worden, ook voor de dienstverlening van de overheid op Schiphol. De Kamer wil graag het beginsel hebben dat eenmaal verstrekte gegevens hergebruikt kunnen worden door alle andere overheidsdiensten, wat per definitie betekent het circuleren van persoonsgegevens. De voornemens die bij de Kamer zijn neergelegd met betrekking tot de bedrijfsvoering van de overheid bieden in belangrijke mate antwoord op die vragen, namelijk het streven om te komen tot een drastische reductie van het aantal datacenters dat in gebruik is bij de overheid en tot één beveiligingsinstituut voor de beveiliging van gegevensverkeer bij de overheid. In de notitie die naar de Kamer is gegaan over cloud computing is bewust gekozen voor een gesloten cloud voor gebruik door het Rijk van dit soort gegevens, met het oog op punten die hier aan de orde zijn gekomen. Dat betekent niet dat wij kunnen waarborgen dat persoonsgegevens slechts in Nederland gebruikt zullen worden. Dat is in strijd met de ter zake geldende Europese verplichtingen. Het gaat erom gelijke waarborgen te verlangen bij de verschillende instellingen waar die gegevens zitten. Onze paspoorten zijn bijvoorbeeld aanbesteed bij een Frans bedrijf en dat betekent dat de persoonsgegevens naar dat Franse bedrijf gaan voor verwerking in de paspoorten. Dat zijn de consequenties van het verkeer dat we hebben, waar nu geen wijziging in aangebracht kan worden.

Minister Donner: Hier lopen twee discussies door elkaar. Op de ene vraag of persoonsgegevens nog slechts bij Nederlandse bedrijven verwerkt zouden kunnen worden, geef ik een antwoord. Binnen Europa wordt door middel van de richtlijn gewaarborgd dat de eisen die gesteld worden aan bedrijven die daarmee belast zijn, gelijkwaardig zijn binnen Europa. Onderdeel daarvan is de aanwijzing in welke landen ten minste gelijkwaardige bescherming van persoonsgegevens bestaat.

De andere vraag gaat over bedrijven die onder de jurisdictie van meerdere landen vallen en de vaak extraterritoriale toepassing van jurisdictie, de USA PATRIOT Act. De staatssecretaris zal erop ingaan op welke wijze daar de waarborgen worden gegarandeerd. Ik ga alleen over het overheidsbeheer.

Minister Donner: Dat is op dit terrein en op andere terreinen juist voorwerp van voortdurende discussie, vooral tussen Europa en de VS, omdat alleen Nederland in dat soort relaties minder gewicht heeft dan wanneer de Europese landen gezamenlijk optreden.

Er ligt nog de specifieke vraag waar burgers terecht kunnen met vragen over de privacy. Vanuit mijn departement wordt door PricewaterhouseCoopers (PwC) bekeken in hoeverre daaraan tegemoetgekomen kan worden. Dit is niet bedoeld voor het indienen van klachten, maar gaat om een breder informatiepunt waar je terechtkunt met vragen op dit terrein.

Met betrekking tot de risico's die aan het licht zijn gekomen door de inbraak bij DigiNotar en de gevolgen daarvan, is het goed om een duidelijk onderscheid te maken met inbreuken die rechtstreeks leiden tot het verlies van persoonsgegevens. Dat is voorwerp van de meldplicht die is aangekondigd in de Notitie privacybeleid. Bij DigiNotar zijn we geconfronteerd met een totaal ander risico, namelijk de inbreuk op de veiligheid van het systeem, waardoor gegevens in het systeem eventueel een risico lopen, zonder dat er al duidelijke aanwijzingen zijn van verlies van persoonsgegevens. Dat is ook onderwerp van de brief die ik vorige week aan de Kamer hebt gestuurd. Die zal nog uitgebreid worden met de consequenties van wat we hebben vastgesteld bij DigiNotar. In hoeverre moet op dit soort terreinen meldplicht bestaan? Geldt dat specifiek voor die terreinen waar de overheid werkzaam is of alleen voor de Telecommunicatiewet met betrekking tot de gekwalificeerde certificaten? Ik wijs erop dat op dit moment een regeling bij de Eerste Kamer in behandeling is over de meldplicht met betrekking tot de Telecommunicatiewet, waar inbreuken zijn geconstateerd in de integriteit van de systemen. Dat gaat dus over systemen die onder de Telecommunicatiewet vallen en een uitbreiding van de al bestaande meldplicht voor het verlies van persoonsgegevens door aanbieders van openbare elektronische communicatienetwerken en -diensten.

Over de bredere vraag hoe gereageerd moet worden op systeeminbreuken, zoals bij DigiNotar, zal ik de Kamer zo snel mogelijk informeren zodra we een duidelijker beeld van de consequenties bij DigiNotar hebben. Dat is ook voorwerp van discussie in de Nationale Cyber Security Strategie.

Bij situaties zoals bij DigiNotar vindt het crisisberaad altijd onder voorzitterschap van de minister van V en J plaats met de meest betrokken ministers, in dit geval de ministers van Binnenlandse Zaken en Koninkrijksrelaties (BZK) en Economische Zaken, Landbouw en Innovatie (EL&I) en de staatssecretaris van Financiën.

Staatssecretaris Teeven: Voorzitter. Ik dank de leden van de commissie voor hun inbreng. Dit is een onderwerp dat ons allen beroert in wisselende toonhoogten en in de tijd met meer of minder belangstelling.

Mevrouw Thieme vroeg waarom de motie-Franken niet is meegenomen in de notitie. Die notitie is van 29 april en de motie-Franken is van 17 mei en kort daarna aangenomen in de Eerste Kamer. De minister van BZK heeft al duidelijk aangegeven dat wij voornemens zijn die motie uit te voeren, onder het voorbehoud dat we doen wat nodig is.

De heer Schouw miste ondanks de brief van 29 april met uitgebreide bijlage de algemene beleidsvisie. Ik denk dat juist die notitie een visie geeft op tal van onderwerpen. Een aantal aspecten zal nog nader uitgewerkt worden.

Ik wil de Kamer het spoorboekje van het kabinet meegeven van wat we concreet gaan doen met betrekking tot die verschillende punten uit de notitie.

De meldplicht datalekken, gericht op de bescherming van persoonsgegevens, zullen we zo snel mogelijk gaan opzetten en voorzien van een robuuste bestuurlijke sanctie en een strafrechtelijke boete, als dat noodzakelijk is.

De minister van BZK heeft inzake de Telecommunicatiewet gesproken over het wetsvoorstel met betrekking tot integriteitskwesties dat bij de Eerste Kamer ligt. Ik spreek erover met betrekking tot datalekken. Het wetsvoorstel dat bij de Eerste Kamer ligt, dekt nog niet alle problemen die zich lijken voor te doen bij DigiNotar. De minister van BZK en ik moeten zo spoedig mogelijk in de breedte bekijken welke omissies er in de Telecommunicatiewet zitten als het om integriteitsschending gaat of als het om een instelling gaat die niet in strikte zin onder de Telecommunicatiewet kan worden gebracht. De vraag is of we dat onder de Wbp moeten brengen of dat we het wetsvoorstel nog moeten aanvullen. Met dat onderdeel gaan we met gezwinde spoed verder, zoals ook in het gedoog- en regeerakkoord staat.

Het tweede onderdeel betreft een betere regeling voor het beschikbaar stellen van beeldmateriaal van strafbare feiten door particulieren, kortom, wat in het veiligheidsdomein gebeurt, de uitwisseling van informatie en hoe we omgaan met beeldmateriaal. Ons voornemen is om te komen met een regeling die dat verwerkingsverbod van de gegevens in de Wbp onder voorwaarden opheft. Soms zijn die verboden niet strikt en is het een cultuuraspect. Dan is de mogelijkheid er wettelijk wel, maar wordt het niet gedaan. Soms zijn er belemmeringen en als die er zijn willen we dat verwerkingsverbod opheffen. Die voorwaarden zullen uiteraard betrekking hebben op het primaat van opsporing en vervolging door de overheid. Onderwerp van discussie de komende maanden zullen zijn: camerabeelden, de Automatic Numberplate Recognition (ANPR), gaan we dat in de Wbp regelen en blijft het CBP de toezichthouder of gaan we die toezichthoudende taak ergens anders in afzonderlijke wetten neerleggen. Dat gebeurt al bij de strafvordering in bepaalde zaken. Daar is niet het CBP maar een andere instantie binnen de rijksoverheid de toezichthouder. Dat is punt van onderzoek voor de komende maanden. De beslissing om het weg te halen bij het CBP is nog niet genomen, maar we kijken wel naar de mogelijkheden om het concreet te regelen.

Staatssecretaris Teeven: Het kabinet is voornemens om de situatie rondom de camerabeelden wettelijk te gaan regelen. Over die eerste stap zullen wij de Kamer informeren. We hebben in de notitie gezegd dat we gaan voor optimale informatie-uitwisseling. Zeker in de interne dimensie van het ministerie van V en J bij de informatie-wisseling tussen jeugdzorg en politie en justitie, zitten we met een aantal acute problemen. Niet alleen de camerabeelden vormen een probleem, maar ook de ANPR en de informatie-uitwisseling binnen de veiligheidshuizen. De eerste stap is een aantal zaken op te lossen. De tweede stap is wie het toezicht houdt en daar zullen we de Kamer eerst over berichten en fundamenteel met elkaar over van gedachten wisselen.

Het derde onderdeel betreft de stevige sanctionering in het domein van de private sector, het toezicht op grotere spelers in de private sector. Daar gaan we met gezwinde spoed mee voort. Gezegd werd dat het CBP geen schoothondje moet worden, maar tanden moet krijgen. Het kabinet is van mening dat er voor het CBP op dat onderdeel daadwerkelijk behoorlijke mogelijkheden van sanctionering moeten zijn. In Brussel worden op dit moment in Europees verband ook over die sanctionering in de private sector stappen genomen. We zullen het nationale model in nauw contact met de Europese ontwikkelingen implementeren. Die Europese dimensie moet nadrukkelijk worden meegenomen. Je moet niet nationaal snel dingen gaan regelen als er straks voor de lidstaten van Europa een model komt waar het onze dan niet bij aansluit. We moeten dat parallel laten lopen en dat gaat dit najaar gebeuren.

Dus, met de meldplicht datalekken gaan we meteen verder, want daar zitten een aantal omissies in. In het verhaal van het veiligheidsdomein zitten een aantal problemen die wetgevingstechnisch moeten worden geregeld en met de Kamer zal gediscussieerd worden waar we het toezicht neerleggen. Voor het toezicht in de private sector zullen we, kijkend naar de Europese ontwikkeling, het CBP uitrusten met boetes van Neelie Kroes-achtige proporties of met slagtanden.

Staatssecretaris Teeven: De Kamer moet mij goed verstaan. Er zijn drie dimensies: de ontwikkelingen in de veiligheidssector, de ontwikkelingen in het private domein met de Europese ontwikkelingen op de achtergrond en de zaken die keihard in het regeerakkoord staan met betrekking tot die meldplicht datalekken. In de veiligheidssector zitten twee dimensies: wetgeving en toezicht. In de wetgeving zitten een aantal urgente dingen, waar we snel mee moeten komen. De minister heeft op dit punt een aantal zaken in zijn portefeuille en ikzelf ook. We gaan ons oriënteren op de toezichthoudende taak en bekijken waar we dat moeten neerleggen. Het is zo dat je het CBP niet oneindig meer taken kunt blijven geven en vervolgens zeggen dat die binnen het huidige raam moeten worden gedaan. Dit is het spoorboekje zoals ik dat in mijn hoofd heb. Het is natuurlijk een beetje bijzonder dat we eerst met de Eerste Kamer hebben gesproken en nu pas met deze Kamer.

Op de vraag of we een collectief klachtrecht voor betrokkenen gaan regelen, kan ik antwoorden dat er al een mogelijkheid bestaat tot het bundelen van klachten. Artikel 3:305a van het Burgerlijk Wetboek kent die mogelijkheid. Een specifieke mogelijkheid voor privacyklachten kan beter op Europees niveau worden geregeld. Daar worden initiatieven toe ondernomen. We zullen daarover op een volgende vergadering van de Europese Raad spreken en die ontwikkelingen wil ik nog meenemen. Op dit moment bestaat zo'n mogelijkheid al wel, maar je kunt je afvragen of die voldoende effectief is.

Op de vraag van de heer Recourt of je altijd uitdrukkelijk toestemming moet vragen bij het uitwisselen van gegevens met betrekking tot de sociale media, antwoord ik dat dat uitgangspunt moet zijn. Maar volgens de huidige richtlijn en wet is dat niet de enige rechtvaardigingsgrond. We gaan daar bij de verdere ontwikkeling van de Wbp naar kijken, maar ik verwacht op dit punt geen verandering.

De heer Recourt heeft gevraagd of de regering voornemens is bijzondere voorzieningen te treffen voor kinderen met betrekking tot de uitwisseling van gegevens. Ik begrijp de zorg die bij de PvdA-fractie bestaat, maar ik wil vooralsnog vertrouwen op de handhaving door het CBP. Ik zie als overheid op dit moment geen reden om in te grijpen. Het is natuurlijk ook een verantwoordelijkheid van ouders om daar op te letten. Ik daag de heer Recourt uit om in tweede termijn nader aan te geven waar zijn gedachten naar uitgaan op het punt van een wettelijke regeling van de zijde van de overheid. Of het noodzakelijk is om het CBP te voorzien van extra financiering weten we binnen een aantal maanden. Het is nog de vraag of er werkelijk sprake zal zijn van een taakverzwaring. Er wordt natuurlijk ook geprioriteerd, De adviesfunctie lijkt hierdoor ten onder te gaan. We gaan 18 mld. bezuinigen en misschien nog wel meer. Het is naar het oordeel van de regering niet onredelijk om ook het CBP te vragen een steentje bij te dragen aan de totale bezuiniging, maar je kunt er natuurlijk niet steeds opnieuw werkzaamheden bovenop blijven zetten.

Staatssecretaris Teeven: Ik denk dat het niet altijd een kwestie van geld is. Het CBP zelf heeft de prioriteiten gewijzigd en een verschuiving van advisering naar handhaving bewerkstelligd. Ik ken de noden van het CBP en heb er een aantal malen over gesproken met de voorzitter van het college. We zitten in tijden van financiële krapte. Desondanks wil ik toezeggen dat ik dat, op het moment dat die wetgeving uitgekristalliseerd is en we een totaaloverzicht hebben van de uitbreiding van het handhavingsarsenaal, opnieuw wil bezien. Ik hoop dat voor de behandeling van de justitiebegroting te kunnen bewerkstelligen. Op dit moment ga ik daar geen toezeggingen over geven.

Er is gevraagd of ik van mening ben dat de sociale media vooraf toestemming moeten vragen voor het gebruik van persoonsgegevens. De rechtvaardigingsgrond is het geven van toestemming. Ik heb al geantwoord op schriftelijke Kamervragen daarover van diverse fracties. Het is aan het CBP om te bepalen of wordt voldaan aan de eisen van de Wbp en of dat ook in concrete individuele gevallen gebeurt. Het is voor mij moeilijk om daar een algemene uitspraak over te doen. De handhaver is het CBP.

Ik ga niet regelen dat voor minderjarigen per e-mail aan de ouder toestemming wordt gevraagd voor toegang tot internet. Dat vind ik een eigen verantwoordelijkheid van ouders. Daar zijn ook softwarepakketten voor, zodat kinderen bepaalde sites niet kunnen benaderen zonder toestemming van de ouder. Ik zie op dit moment geen rol voor de overheid om wettelijk in de eigen verantwoordelijkheid van de gezinnen te interveniëren.

De vragen van de heer Schouw zal ik allemaal nalopen. We waren al een eind op streek om met het wetsvoorstel in consultatie te gaan, maar het is nog niet zover. Met de privaatrechtelijke sector wil ik nadrukkelijk nog even kijken naar Europa. Met betrekking tot de meldplicht wil ik de voortgang erin houden. In de veiligheidssector moet ik een aantal zaken opnieuw bekijken, gezien de discussie van deze zomer en het aantal knelpunten dat er is. Het is wel mijn voornemen om het snel in consultatie te brengen. In de woorden over het totaal ontbreken van een beleidsvisie herken ik me niet, want sinds 29 april ligt er wel degelijk een stuk. We hebben dat op 17 mei in de Eerste Kamer besproken en we hebben de ontwikkelingen in de zomer gehad, ook op andere terreinen rondom privacy. Dat vraagt om een herbezinning, anders krijg ik het verwijt dat ik te ver voor de troepen uitloop. Er komt dus een meldplicht lekken persoonsgegevens, enerzijds aan de betrokkene zelf en anderzijds aan de toezichthouder. Dat wordt gesanctioneerd met een bestuurlijke boete en/of een strafsanctie. We zijn vrij ver met het kijken naar de hoogte van die boete, maar we moeten een aantal zaken opnieuw schikken. Daarna gaat het in consultatie.

Met betrekking tot DigiNotar is het goed om scherp te hebben dat de wijzigingen in de Telecommunicatiewet mogelijk niet alles dekken wat er bij dat bedrijf is gebeurd, omdat het misschien geen instelling is die compleet onder de Telecommunicatiewet valt. Dat brengt met zich mee dat er in de Wbp in het kader van de integriteitsmeldplicht aanvullend zaken geregeld moeten worden.

Er is op dit moment onvoldoende reden om de privacy impact assessment in wetgeving voor te schrijven. Ik wijs de heer Schouw erop dat daar voor het bedrijfsleven ook de nodige kosten mee zijn gemoeid. Dat moet in aanvaardbare verhouding staan tot de risico's, die met een PIA in kaart kunnen worden gebracht. Wat de minister van BZK daarover gezegd heeft, en wij beiden ook in de Eerste Kamer, zeg ik ook tegen de heer Schouw: als het gaat om de overheid hebben we een aantal afspraken gemaakt en ook de uitvoering van de motie-Franken, waaraan we loyaal uitvoering zullen geven, dekt een aantal van die problemen. Het is zeer aannemelijk dat het houden van een PIA voor het midden- en kleinbedrijf relatief vaak zal leiden tot een onevenredig zware verplichting.

Hoe gaan we privacy by design stimuleren? Het is belangrijk dat dat wordt ingebakken in de opbouw van informatiesystemen. Daar hoort ook bij te weten wie er inlogt en hoe systemen aan elkaar worden gekoppeld. We willen de toepassing van privacy by design, maar er is goede kennis voor nodig van kansen en belemmeringen. Het ministerie van Economische Zaken (EZ) en de Nederlandse Organisatie voor toegepast natuurwetenschappelijk onderzoek (TNO) doen daar onderzoek naar. De uitkomst wordt dit najaar bekend gemaakt en die doen we aan de Kamer toekomen. Ik ben het met de heer Schouw eens dat je er met de tekst in het regeerakkoord alleen niet bent. Het moet ook body krijgen.

Gevraagd is of het CBP, Bits of Freedom en andere organisaties betrokken worden bij de wetgeving. Jazeker, Bits of Freedom in de consultatiefase en het CBP uiteraard in zijn rol als wetgevingsadviseur. De voorzitter van het CBP, de medewerkers van het ministerie en ikzelf staan in direct contact met elkaar. We zijn het niet altijd met elkaar eens, maar proberen er in de rollen die wij hebben op een goede manier uit te komen. Dat lukt tot nu toe prima.

Een heikel punt – en ik verbaas met een beetje over de opstelling van de leden van de commissie – is wat het kabinet heeft geschreven over bezwaar en beroep in relatie tot bevindingen en in relatie tot conclusies. Het is mij volstrekt helder dat de opmerkingen die in augustus in de media zijn verschenen niet correct zijn. De voorzitter van het CBP heeft daar uiteraard met mij over gesproken. Anderzijds heb ik te maken met rechtsbescherming voor de burger, ook op het punt van boetes en sancties die worden opgelegd door het CBP. Je kunt onderscheid maken in bezwaar en beroep in relatie tot bevindingen en tussenrapportages en tot eindconclusies. We zullen daar nog een keer scherp naar kijken. We zullen dat in de uitwerkingen meenemen. Ik vind het belangrijk – en hoop dat de commissie dat ook vindt – dat burgers en bedrijven tegen zo'n rapport in rechte kunnen opkomen als zij daar niet mee akkoord zijn. Dat bevordert ook de zorgvuldigheid bij het opleggen van sancties. Een aantal van de leden heeft in de zomermaanden terecht aandacht voor die zorgvuldigheid gevraagd. We moeten altijd kijken naar draagkracht, proportionaliteit en subsidiariteit in voorkomende gevallen. Zo'n maatregel van bezwaar en beroep kan daartoe bijdragen.

Staatssecretaris Teeven: We gaan het opnieuw bekijken, ook de openbaarmaking of mogelijk latere openbaarmaking van de stukken die zijn opgesteld.

Ik wijs er naar aanleiding van diverse vragen op dat het bij de aangenomen motie-Franken in de Eerste Kamer om drie stappen gaat: een integraal afwegingskader en de voorbereiding van wetgeving, het wetgevingskwaliteitsbeleid en de toetsing van de wetgeving en ten slotte het zorgvuldig afwegen van evaluatie- en horizonbepalingen. Dat gaan we uitvoeren, onder het voorbehoud dat de minister van BZK heeft gemaakt met betrekking tot die evaluatie- en horizonbepaling, want de vraag is of dat altijd nodig is.

De heer Schouw heeft nog gevraagd welke mogelijkheden er zijn om privacyschendingen door datalekken aan te pakken. Artikel 13 van de Wbp schrijft voor dat de verantwoordelijke voor de gegevensverwerking ervoor moet zorgdragen dat de verwerking van persoonsgegevens voldoende beveiligd is. Bij overtreding van die eis kan het CBP handhavend optreden.

De vraag welke informatie op grond van de USA PATRIOT Act naar de VS gaat, heeft minister Donner aan mij doorverwezen. De USA PATRIOT Act is hetzelfde als het Nederlandse Wetboek van Strafvordering. Dat ziet toe op een aantal zaken rondom strafzaken en bevoegdheden op strafvorderlijk terrein. Dat verschilt niet veel van Nederland, hoewel wij bepaalde bevoegdheden kennen die de Amerikanen niet in hun wet willen. Onder rechterlijk toezicht vindt in de VS de bevoegdheid tot het vorderen van gegevens plaats. Complicerend is de territoriale werking van die extraterritoriale wetgeving in de VS. Dat is met betrekking tot de USA PATRIOT Act al vaker aan de orde geweest. Soms leidt dat tot een conflict van plichten. De passagiersgegevens is hét onderwerp waar dat speelt en waar we proberen dat in samenwerking met lidstaten van de Europese Unie op te lossen. Ik wijs de Kamer erop dat Nederland op het punt van die conflicten van plichten, zeker met die passagiersgegevens, laatst heeft gezegd dat er niet voldoende garantie is om daar op dit moment mee door te gaan. Ik verwijs de Kamer naar de verslaglegging van de Europese Raad van 18 en 19 juli jl. Ik heb daar expliciet aandacht gevraagd voor het punt van die botsende belangen. We moeten niet te snel akkoord gaan met de Amerikanen. Ik ga ervan uit dat de minister van V en J dat met de Kamer heeft gewisseld.

Staatssecretaris Teeven: Ik kan in algemene zin zeggen: in de strafzaken die het hier betreft moet je denken aan passagiersgegevens, bankgegevens, financiële informatie en vervoersinformatie.

Mevrouw Thieme maakte de opmerking dat privacy niet mag worden ingeruild om gevoelens van onveiligheid te compenseren. Ik denk dat het kabinet op dat punt hetzelfde beleid voert als het vorige kabinet. Het is niet zo dat privacy tegenover het bevorderen van de veiligheid staat. Die dingen kunnen heel goed samengaan en wij proberen dat in dit regeerakkoord ook te laten samengaan. Het gaat erom dat we bijvoorbeeld binnen de interne dimensie van veiligheid en justitie optimaal informatie uitwisselen tussen de instanties en tegelijkertijd de privacy waarborgen. Die uitdaging zit in het regeerakkoord verscholen. Het is niet of of, maar en en.

De vraag van mevrouw Van Toorenburg hoe ik denk over het verruimen van de mogelijkheden voor burgers om foto's en camerabeelden op internet te zetten, is nog blijven liggen. De koninklijke weg is en blijft dat burgers hun beelden aanbieden aan de politie en dat die vervolgens actie onderneemt. Politie en justitie kunnen beter individuele afwegingen maken dan burgers. Dan voorkomen we dat beelden van burgers onterecht op internet blijven kleven. Desondanks wil ik met betrekking tot burgers en particuliere beveiligingsorganisaties en recherchebureaus kijken hoe beelden daarmee kunnen worden gedeeld en bewaard en hoe de veiligheid optimaal kan worden bevorderd. Dan komt de vraag aan de orde hoe en waar je dat wettelijk gaat regelen en wie je er toezicht op laat houden. Dat speelt zich in het veiligheidsdomein af. Dat is een stapje verder dan politie en justitie en zal nadrukkelijk onderwerp zijn van het onderzoek dat de komende weken ter oriëntering zal plaatsvinden. Burgers moet ik wijzen op het onterechte schandpaaleffect. Zij moeten zich ervan bewust zijn dat als zij onzorgvuldig handelen het CBP moet optreden. Ik zeg wel dat ik, als het gaat om kleine private partijen, het CBP niet meer bestuurlijke bevoegdheden wil geven dan een paar kleine melktandjes. Dat is de lijn die het kabinet wil inzetten en daar zal het CBP niet veel moeite mee hebben, want dat is niet voornemens hoge boetes op te leggen aan kleine private partijen. Burgers moeten zich er wel van vergewissen dat andere burgers behoorlijk beschadigd kunnen raken door die beelden.

Het voornemen van het kabinet is inderdaad om de termijn voor het bewaren van beelden te verlengen. Mevrouw Van Toorenburg heeft gevraagd of die beelden gebruikt kunnen worden om de snelwegschutter op te sporen. Afgezien van de vraag of er een snelwegschutter is, zou dit een middel kunnen zijn. Hoe we dat gaan regelen, wordt nadrukkelijk meegenomen in de wetgeving. De beide bewindspersonen op Veiligheid en Justitie zijn het er volstrekt over eens dat het prioriteit heeft.

We hebben al van gedachten gewisseld over die openbaarmakingsbevoegdheid. We moeten constateren dat het CBP voorlopig zelf op basis van artikel 8 van de Wet openbaarheid van bestuur tot op zekere hoogte sanctiebesluiten openbaar kan maken. Op de definitieve keuze hoe hiermee verder te gaan, ga ik nog niet in. We moeten wel voorkomen dat mensen ten onrechte worden beschadigd, doordat iets te snel openbaar wordt gemaakt. Dat is ook privacy.

Komen de gegevens van Nederlanders in handen van buitenlandse mogendheden? Dat is zeker niet de bedoeling, maar via hacking kan het wel. Dat kan nooit helemaal worden voorkomen. Verder geldt dat de Wbp en de richtlijnen een uitgewerkte regeling bevatten voor de rechtmatige overdracht van gegevens aan het buitenland. Die mogelijkheid is er al. In het strafrecht gaat dat uiteraard via de weg van de rechtshulp.

De heer Elissen heeft gevraagd wat er valt onder de integrale benadering. Daar vallen onder de standaardzaken, alleen gegevens verstrekken die nodig, doelbinding, beveiliging, scenario's voor problemen met datalekken, wie de leiding heeft en wat de rol van de staatssecretaris is. Het is de bedoeling dat ik die kar trek binnen het kabinet en dat gaat via het spoorboekje dat ik in de algemene inleiding heb geschetst.

De heer Van der Steur heeft het gehad over cloud computing. Dat is een heel fundamentele zaak. De effecten van cloud computing zijn van zeer grote invloed op de nieuwe EU-instrumenten. Het is ook onderwerp van discussie in de JBZ-Raad. Ik wil de Europese ontwikkelingen afwachten, want het heeft geen nut om dit alleen voor Nederland te bespreken. We zullen het monitoren. Voor de Nederlandse overheid wordt uit veiligheidsoverwegingen gewerkt aan een eigen «rijkscloud».

Ik kan over de gegevensdeling zeggen dat de minister van V en J en ik van mening zijn dat, als er op dit moment zo'n honderdduizend mensen werken aan een veiliger Nederland, het uitgangspunt binnen de doelbinding moet zijn dat gegevens altijd worden gedeeld. Wettelijke belemmeringen moeten zo veel mogelijk worden weggenomen, evenals culturele belemmeringen. We moeten soms ook buiten die doelbinding kunnen delen. Bij kindermishandeling en jeugdzorgproblematiek kan het niet zo zijn dat kinderen het slachtoffer worden als er niet optimaal kan worden gedeeld. Aan de belemmeringen die er zijn, gaan we het komend halfjaar wat doen. We zullen de Kamer daarover informeren. Als er gedeeld kan worden binnen het domein van veiligheid van justitie – en soms ook daarbuiten en misschien zelfs met doorbreking van geheimhoudingsplichten – zullen dat onderwerpen zijn die de komende tijd nadrukkelijk op de agenda worden gezet.

Om de administratieve lasten voor het mkb te verminderen is al heel veel gedaan. Er ligt op dit moment een wetsvoorstel in de Eerste Kamer om de meest in het oog springende lasten te verminderen en er is een wijziging van het vrijstellingsbesluit in voorbereiding om de lasten die in gedelegeerde regelgeving verscholen liggen te reduceren. Ik heb al eerder aangegeven dat dat besluit dit najaar in procedure zal gaan. Dan kunnen we die lastenvermindering daadwerkelijk vormgeven.

Staatssecretaris Teeven: Het ministerie heeft het bedrijfsleven nadrukkelijk uitgenodigd om uitvoerbare voorstellen te doen om de lasten te beperken. Daar hebben we er een aantal van gekregen, maar ik wil niet verhullen dat ik ook denk aan de vereenvoudiging van de meldplicht bij de verwerking van persoonsgegevens, de vergemakkelijking van grensoverschrijdende gegevensdoorgifte en concernverhoudingen. Wij hebben dat bij de behandeling van dat wetsvoorstel ook gewisseld met elkaar. De kritiek van de Kamer is goed doorgekomen en staat ook op de agenda.

Volgens mij zijn wij het er volstrekt over eens dat proportionaliteit niet alleen een belangrijke rol speelt bij de boeteoplegging, maar ook bij de procedures.

De heer Elissen heeft nog vragen gesteld over dat servicecentrum bij veiligheid en justitie. We hebben de adviesrol van het CBP, maar binnen het domein van veiligheid en justitie voor professionals hebben we nu een servicecentrum. Dat is in het debat met de Eerste Kamer aan de orde gekomen en in januari jl. operationeel geworden. Dat servicecentrum zal met name in de advisering over de interpretatie van privacymaatregelen een belangrijke rol gaan vervullen. Juist binnen de overheid denken veel mensen dat privacy een belemmering is voor de uitwisseling van gegevens, terwijl dat in werkelijkheid niet zo is.

De heer Recourt (PvdA): Voorzitter. De collectieve schadevergoedingsactie is volstrekt onvoldoende, maar die moeten we maar apart agenderen. Dan de commerciële markt. De staatssecretaris wijst naar het CBP om de Googles enz. te controleren, maar dat is achteraf. Ik vraag dit kabinet juist om normen te stellen waaraan ze moeten voldoen en dan kan achteraf een boete worden opgelegd door het CBP. Dit moeten we niet aan de markt laten, want er zit daar een belang om geld te verdienen aan persoonsgegevens. Als overheid moeten we dat normeren. Begrijp ik betreffende de centenkwestie goed dat de staatssecretaris er nog eens kritisch naar gaat kijken en liefst voor de begroting een conclusie zal trekken, die met ons gedeeld wordt middels een brief? Ik word er graag van op de hoogte gesteld, want als we het geen handen en voeten geven, blijft het een papieren tijger.

Als laatste artikel 5 van de Wbp. Ook hier geldt weer: stel als overheid normen. Je kunt ouders het niet zelf laten uitzoeken. Ze willen graag geholpen worden. Ook kinderen zitten er niet op te wachten dat hun profiel gezien wordt door vieze mannen. Laten we als overheid die norm aan het bedrijfsleven stellen, dan kan het CBP artikel 5 later handhaven met boetes. We moeten aan de voorkant beginnen en zo helpen we ouders om hun eigen verantwoordelijkheid te pakken.

De heer Schouw (D66): Voorzitter. Ik heb in de eerste termijn het privacybeleid van de regering vergeleken met een bruine boterham met een heel dun laagje oude margarine. Ik wil er twee blokken uithalen die daar de bewijsvoering voor zijn.

Ten eerste moet de meldplicht een substantieel ding worden van dit nieuwe kabinet, maar is er nog weinig mee gebeurd. Dank aan de staatssecretaris voor het verhaal, maar ik wil gewoon een datum weten waarop het in consultatie gaat en wanneer we er hier in de Kamer over kunnen spreken, zodat er iets wordt gerealiseerd. Ik daag de staatssecretaris uit om dat wettelijke traject rondom die meldplicht binnen een jaar af te ronden. Dan toont de staatssecretaris ambitie.

Het tweede blok waarop dit kabinetsbeleid rondom privacy steunt, is het veel besproken CBP. Ik kan me niet aan de indruk onttrekken dat dit kabinet pogingen doet om dat CBP een arm op de rug te binden. Dat heeft te maken met de financiën, met dat gekke idee over bezwaar en beroep – waar de minister nog eens naar zal kijken – en het vermoeden dat er op verschillende plekken in het land bij verschillende instituties toezicht gehouden gaat worden op de naleving van privacygegevens. Dat is een versnippering en dat lijkt me heel slecht. Ik ben blij met de toezegging van de staatssecretaris dat hij daar nog eens open met de Kamer over wil praten. Het zou fijn zijn als we daar dan op een wat constructievere manier over kunnen praten.

Ik vind het belangrijk dat de beide pijlers – meldplicht en CBP – goed geregeld zijn.

Tot slot de filmpjes op internet. Ik was blij met het eerste deel van het antwoord van de staatssecretaris, waarin hij zei dat het plaatsen van filmpjes op internet bepaald moet worden door een orgaan dat een soort overheidsmonopolie heeft, maar daarna liep het een beetje weg. Stel dat De Telegraaf morgen opent met een verhaal over een juwelier die is overvallen en het filmpje op internet heeft geplaatst. Is de staatssecretaris dan bereid om in een programma als Paul & Witteman de privacy te gaan verdedigen en te zeggen dat dat eigenlijk niet hoort in dit land?

De heer Van Raak (SP): Voorzitter. We kunnen allemaal maatregelen nemen om de privacy van onze burgers te beschermen, maar dat heeft geen zin als andere landen toch informatie krijgen die wij niet kwijt willen. Ik vind het goed dat de regering zich in Europees verband inzet voor afspraken met de VS over de uitlevering van passagiersgegevens, maar het gaat over veel meer gegevens. De minister van BZK zegt dat hij gaat kijken wat hij in onderlinge samenhang kan doen, maar dat is toch echt te weinig. Volgens mij moet de regering gewoon eisen stellen in de aanbesteding en in het programma van eisen van ICT-projecten en de eis formuleren dat leveranciers data niet aan buitenlandse mogendheden geven. Ik vraag een verlengd algemeen overleg aan om daar een motie voor in te dienen. Ik denk dat voor deze opvatting veel steun is in de Kamer.

Ten slotte, waar kunnen mensen met vragen over privacy terecht? De minister van BZK zegt dat PwC dat aan het uitzoeken is. Is de staatssecretaris bereid om namens het ministerie van V en J zijn verontrusting uit te spreken tegenover zijn collega van BZK en te zeggen dat ze daar wat beter op de centen moeten letten en wat terughoudender moeten zijn met de inhuur van dure externen?

Mevrouw Van Toorenburg (CDA): Voorzitter. Dank aan minister en de staatssecretaris voor de beantwoording. Wij constateren dat het kabinet serieus aan de slag is met het thema privacybescherming, maar het wordt vandaag op een aantal punten door de Kamer nog even aangespoord. Bijvoorbeeld ten aanzien van de meldplicht en een goede regeling voor mensen die camerabeelden hebben van overvallers enz., zodat ze deze op een goede manier aan het publiek kunnen tonen en wij ernstige misdaden kunnen oplossen. Dat brengt mij op het punt van internet in gevangenissen, want degenen die daar vastzitten kunnen die beelden ook zien. Zij herkennen elkaar vaak wel, dus het zou jammer zijn dat we die doelgroep moeten missen als we geen internet in de gevangenis hebben.

Ten aanzien van het rapport van bevindingen zijn wij blij dat de staatssecretaris goed gaat bekijken wat daar in moet. Wij vragen hem concreet hoe die zaak over Google eruit zou hebben gezien als Google vanuit dat eerste rapport van bevindingen in zo'n heel proces hadden kunnen stappen. Waren we dan verder geweest? Waren dan de privégegevens van mensen niet veel meer in gevaar? Wij vragen die afweging te bezien tegen het licht van deze concrete casuïstiek.

Ten aanzien van die Amsterdamse digitale slotgracht vraag ik of de staatssecretaris vandaag alvast kan zeggen wat wel en wat niet kan, omdat door Amsterdam breeduit in de media wordt verteld dat ze van alles van plan zijn.

Het volgende punt ligt meer op het bordje van de minister. Mij bereiken geluiden dat Amsterdam veel met burgers communiceert via Hyves. Wat zijn de risico's als mensen persoonlijke burgergegevens via Hyves uitwisselen met gemeentelijke diensten in Amsterdam? Daar zouden wij graag meer zicht op willen krijgen.

De heer Elissen (PVV): Voorzitter. Ook van deze kant dank aan de minister en de staatssecretaris voor de beantwoording. Goede punten zijn de brief die dit najaar komt en het onderzoek dat is aangekondigd. In relatie daarmee is het goed nog eens te kijken naar de functionaliteit met betrekking tot de Wbp. Wij willen daarin graag meegenomen zien de dubbelfunctie die erin zit en die wat ons betreft ongewenst is: enerzijds de adviesfunctie en anderzijds de handhavingsfunctie.

Dan de betrouwbare overheid. Ik vind dat de overheid garant moet staan voor de veiligheid van privacygegevens van de burger. We hebben gehoord over die conflicterende jurisdictie en ik wil graag nog expliciet antwoord hoe de staatssecretaris gaat uitsluiten dat gegevens van Nederlanders in handen vallen van buitenlandse mogendheden. Het is vrij duidelijk dat de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) zegt dat het vooral cybercriminelen zijn en statelijke actoren. Dan bedoelen we natuurlijk buitenlandse geheime diensten. Misschien is het verstandig te komen tot een inventarisatie van landen die soortgelijke voorzieningen hebben als de Amerikanen met hun USA PATRIOT Act.

Ten slotte de boetevoorziening voor het CBP. Ik ben blij met de melktandjes, maar die hebben de neiging om na verloop van tijd uit te vallen. Als er dan nieuwe tandjes komen, vraag ik de staatssecretaris om heel kritisch te bekijken of we die laten groeien of dat we er een gebitje in monteren dat we bij tijd en wijle de mond kunnen snoeren. Dat het hier gaat om zorgvuldigheid ben ik met de staatssecretaris eens, maar hij hoeft zich geen zorgen te maken over die crimineel die op internet komt. Als die vindt dat er inbreuk wordt gemaakt op het portretrecht kan hij zich melden bij de politie.

De heer Van der Steur (VVD): Voorzitter. Dank aan de staatssecretaris voor de beantwoording en complimenten voor de heer Elissen voor zijn laatste opmerking.

Allereerst wil ik een opmerking maken over de Europese wet- en regelgeving. Terecht zegt de staatssecretaris dat hij bij een aantal belangrijke wetten voor Europa niet voorop wil lopen met het risico dat we door Europa worden ingehaald of anderszins actie moeten ondernemen. Ik vind wel dat we de staatssecretaris moeten meegeven – in ieder geval namens de VVD-fractie – dat we eraan hechten dat hij ervoor zorgt dat in Europa met name over richtlijnen en niet over verordeningen ten aanzien van privacybescherming wordt gesproken. Dit omdat verordeningen de neiging hebben om naar het midden te gaan en niet altijd voor het beste te kiezen. Ik denk dat de lidstaten zelf de vrijheid moeten hebben om op basis van de richtlijnen de bescherming van hun eigen inwoners in te richten.

Ik geef de staatssecretaris nog het punt mee dat niet alleen het lekken van data een misdrijf is, maar ook de inbraak in het systeem waar de data uit kunnen lekken. De VVD-fractie vraagt in de uitwerking aandacht voor de security breach notification.

Tot slot een handreiking aan de staatssecretaris. Er komt een aantal onderwerpen naar de Kamer toe ten aanzien van bijvoorbeeld cameratoezicht en registratie van kentekens. In het kader van de afweging die gemaakt moet worden tussen het algemeen belang en de privacy vindt de VVD-fractie het van groot belang dat bij alle voorstellen heel duidelijk en diepgaand aandacht wordt besteed aan wat het precies gaat opleveren in relatie tot de inbreuk die er mogelijkerwijs op de privacy wordt gemaakt. Ik verwijs naar de P+R waar we recentelijk over zijn geïnformeerd op Schiphol. De Engelse resultaten van bijna 300 miljoen onderzoeken die leiden tot 9 000 arrestaties klinken op het eerste gezicht niet heel overtuigend over het nut, de effectiviteit en de noodzaak van die maatregel. Misschien is dat wel zo, maar ik vraag de staatssecretaris met een goed en onderbouwd verhaal te komen.

Staatssecretaris Teeven: Dank aan de leden voor hun inbreng in tweede termijn.

De heer Recourt zegt dat het antwoord over de collectieve actie volstrekt onvoldoende is. Ik merk op dat er nog een aantal dingen mogelijk zijn en dat we geen dingen dubbel moeten doen. Hij vraagt om meer normen vooraf vast te stellen, maar de Wbp geldt al breed. De toestemmingseis is duidelijk: het is uitdrukkelijk uit vrije wil. Dat is er op dit moment aan de voorkant en daar wil ik mee volstaan. Ik wijs erop dat dit een punt is van eigen verantwoordelijkheid.

Over de financiering kan ik tegen de heer Schouw zeggen dat er een brief komt voordat er een beslissing wordt genomen. Een prikkelende vraag van hem was of de staatssecretaris bij Pauw & Witteman de privacy gaat verdedigen. Ik heb het nog niet gedaan maar wat niet is, kan nog komen. De koninklijke weg is dat de uitwisseling via politie en justitie verloopt. Maar er zijn twee problemen. Ten eerste of ze die beelden effectiever kunnen inzetten? Ik ga bezien of er een mogelijkheid is. En ten tweede de heterdaadkracht. Ik ga bezien of particuliere beveiligingsorganisaties daar een sterkere rol in kunnen spelen.

Op de vraag wanneer de meldplicht datalekken er komt, is het antwoord dit najaar. Het wettelijk traject is in zijn volle omvang van consultatie en behandeling in de Kamers een urgentie. Dat staat in het regeerakkoord. Ik denk dat realisatie binnen een jaar mogelijk moet zijn.

Er is geen sprake van dat het CBP met één arm op rug gebonden moet werken. Maar 18 mld. en misschien nog meer bezuinigen betekent dat iedereen zijn steentje moet bijdragen. Ik zie wel dat er knelpunten zijn en dat is ook door het CBP zelf onder de aandacht gebracht.

Op de vraag van de heer Van Raak over het PwC-onderzoek en waar mensen terechtkunnen die vragen hebben over privacy, kan ik zeggen dat veiligheid en justitie is aangesloten en dat daar op zich geen kosten aan zijn verbonden. Het CBP beantwoordt de vragen en we hebben de servicedesk voor de professionals binnen het interne domein van veiligheid en justitie. De kosten van dat onderzoek zijn nihil.

Mevrouw Van Toorenburg vroeg wat er gebeurd was als Google meteen bezwaar en beroep had kunnen instellen. Dat is nou precies de afweging. Haar boodschap is duidelijk, maar ik zet die kleine private partij die niet meteen bezwaar en beroep kan instellen er tegenover, terwijl het al wel volledig openbaar wordt gemaakt. Het is zoeken naar evenwicht. Ik ben het volstrekt met de commissie eens.

Mevrouw Van Toorenburg vroeg naar de privacyimplicaties van het communiceren van de gemeente Amsterdam via Hyves. In beginsel is er niks op tegen als die sociale netwerksites worden gebruikt voor communicatie. Voor de inrichting van die persoonlijke pagina's op sociale netwerksites gelden natuurlijk de regels van het Wbp onverkort. Organisaties die met Hyves werken zijn daarom verplicht medegebruikers in te lichten over de wijze waarop de gegevensverwerking plaatsvindt en zo nodig inzage- en correctieverzoeken van gebruikers te honoreren.

Over wat er beoogd wordt met het gebruik van die milieucamera's heeft de burgemeester van Amsterdam de commissie algemene zaken en financiën van de Amsterdamse gemeenteraad op 15 augustus jl. per brief geïnformeerd over het voornemen de camera's van de gemeente ook te gaan inzetten voor opsporings- en handhavingstaken. Dit dubbelgebruik van camera's en de technische infrastructuur is juridisch toegestaan en past binnen de richtsnoeren van het CBP. Er dient wel sprake te zijn van een gescheiden verwerking van de verzamelde data. Voorts moet de inzet van ANPR voor politietaken gekoppeld zijn aan de mogelijkheid om over te gaan op vrijwel directe opvolging van de zogenaamde hit. Passagegegevens van auto's die niet leiden tot een hit mogen en zullen niet worden bewaard, omdat de huidige regelgeving daarvoor geen titel biedt. Beoogd wordt eind 2011 dit dubbelgebruik daadwerkelijk te gaan starten. Van de zijde van het departement zullen we dit monitoren.

De heer Elissen vroeg of de staatssecretaris kan uitsluiten dat gegevens van Nederlanders in handen vallen van buitenlandse mogendheden. Dat kan ik niet. Het is onmogelijk om die toezegging te doen, want dat kan niet waargemaakt worden. Wel heb ik de bereidheid om een inventarisatie te maken van welke landen actief informatie verzamelen, maar ik sluit niet uit dat dat informatie rondom staatsveiligheid is en dat ik de Kamer daarover niet kan informeren. Ik denk wel dat er een mogelijkheid is om een eerste scan te doen.

Gevraagd is of het mogelijk is de wetgevingsadvisering van het CBP te scheiden van de handhaving. Ik denk dat dat niet gaat, want de EU-privacyrichtlijn schrijft dat nou eenmaal voor. Ik zie dat niet gauw veranderen. Volgens mij moet het CBP zich vooral concentreren op handhaving, wetgevingsadvisering en advisering, maar niet op politieke advisering.

De heer Van der Steur voert een betoog dat ik goed begrijp. Hij vraagt aandacht voor het algemeen belang en voor de privacy en voor continu dat midden zoeken. Toch hoor ik, ook vanuit de VVD-fractie, vaak aansporingen om snel zaken te doen, informatie te delen en ervoor te zorgen dat de informatie op de goede plaats terechtkomt. Dat is ook ons uitgangspunt en dat knelt af en toe met die privacybescherming. We zijn druk bezig om het evenwicht te vinden. Richtlijnen hebben onze grote voorkeur boven verordeningen. Ik verwijs naar de vergadering van de Europese Raad waarin ik daar opmerkingen over hebt gemaakt. Die zijn terug te vinden in de verslaglegging.

De voorzitter: De heer Van Raak wil dat het verslag van dit algemeen overleg op de plenaire agenda wordt geplaatst. De griffier zal hiervoor zorgdragen.

Ik heb de volgende toezeggingen genoteerd.

• – Dit najaar stuurt de staatssecretaris de Kamer een brief over het toezicht in het veiligheidsdomein.

• – Nadat de conceptwetgeving meer is uitgekristalliseerd, zal de staatssecretaris opnieuw de bezuinigingen op het CBP bekijken en de Kamer daarover informeren.

• – De staatssecretaris zal de bezwaar- en beroepsmogelijkheden tegen de rapporten van bevinding van het CBP opnieuw bekijken en daarbij aandacht besteden aan de vraag hoe het bij andere toezichthouders geregeld is.