Nr. 27 VERSLAG VAN EEN ALGEMEEN OVERLEG

De vaste commissie voor Veiligheid en Justitie1 en de vaste commissie voor Europese Zaken2 hebben op 7 maart 2012 overleg gevoerd met staatssecretaris Teeven van Veiligheid en Justitie over:

• – EU-voorstel van de Europese Commissie d.d. 27 januari 2012: Herziening EU-wetgeving bescherming persoonsgegevens COM(2012) 9 (Engelstalige versie) (2012Z01448);

• – de brief van de staatssecretaris van Buitenlandse Zaken d.d. 2 maart 2012 met het fiche: Richtlijn gegevensbescherming opsporing en vervolging (22 112, nr. 1371);

• – de brief van de staatssecretaris van Buitenlandse Zaken d.d. 2 maart 2012 met het fiche: Verordening gegevensbescherming (22 112, nr. 1372);

• – de brief van de staatssecretaris van Veiligheid en Justitie d.d. 2 maart 2012 over herziening van de regels over de bescherming van persoonsgegevens binnen de Europese Unie (32 761, nr. 17).

Van dit overleg brengen de commissies bijgaand geredigeerd woordelijk verslag uit.

Voorzitter: De Roon

Griffier: Hessing-Puts

Mevrouw Gesthuizen (SP): Voorzitter. We staan op het punt om een belangrijke stap voorwaarts te zetten. Dit kabinet stuurde ons tot op vandaag vaak nog met een kluitje in het riet. Ik wijs in dit verband op de antwoorden op Kamervragen over het gebruik van wifilocatiedata door bedrijven als Google via Android-telefoons van bijvoorbeeld nietsvermoedende consumenten. De EU heeft nu echter de schone taak op zich genomen om de bescherming en de rechten van burgers aangaande de privacy weer van deze tijd te maken. Wat lopen we ontzettend achter bij de technieken, bij de markt en bij een groot deel van de bevolking! De afgelopen jaren is mij, telkens wanneer ik hierover tegen dit kabinet begon, vooral opgevallen dat in de antwoorden werd gezegd: het is allemaal geregeld, zie de Wet bescherming persoonsgegevens, en het is niet onze taak. Het enthousiasme waarmee de conceptverordening en de conceptrichtlijn door de verschillende betrokkenen in het veld zijn ontvangen, laat echter wel zien dat verschillende zaken echt beter geregeld moeten worden. Mede doordat ik de afgelopen jaren niet bepaald veel vertrouwen heb gekregen in de visie en de inzet van het kabinet op dit punt, is het absoluut nodig om dit debat te voeren. Ik ben er bang voor dat we de onderhandelingen niet alleen aan het kabinet kunnen overlaten.

Ik begin met een aantal opmerkingen en vragen over de procedurele kant. De opmerkingen maak ik mede namens de D66-fractie, die hier helaas niet aanwezig kan zijn. De SP-fractie en de D66-fractie hebben de volgende vijf verzoeken aan de staatssecretaris. Kan de staatssecretaris de Kamer schriftelijk een reactie geven op het voorlopige standpunt van het College bescherming persoonsgegevens (CBP)? Kan de staatssecretaris ons op de hoogte houden van de exacte planning van de behandeling van de voorstellen? Wanneer wordt wat door wie behandeld? Kan het kabinet ons informeren over de standpunten van de andere lidstaten? Kan het kabinet ons tijdig informeren over wijzigingen van de voorstellen tijdens de onderhandelingen voordat er op het niveau van het Coreper, het Comité des Représentants Permanents (het Comité van permanente vertegenwoordigers), akkoorden worden gesloten tussen de lidstaten? Ik vraag dit met name ook ten aanzien van wijzigingen in de artikelen 40 tot en met 45 van de verordening over de uitwisseling van gegevens met derde landen. Kan de staatssecretaris een concept van een gemeenschappelijk standpunt betreffende de genoemde punten, voorzien van een waardering, aan de Kamer sturen voordat het concept in de Raad is besproken?

Ik kom nu bij de inhoud. In de brief die het College bescherming persoonsgegevens aan de vaste Kamercommissie heeft gestuurd, noemt het college de data met persoonsgegevens «het nieuwe goud». Dat is een treffende metafoor. Het is inderdaad het nieuwe goud. Daarom wil ik het volgende aan de staatssecretaris voorleggen. Er is een verordening met algemene regels over de bescherming van persoonsgegevens en er is een richtlijn met specifieke regels over gegevensverwerking door politie en justitie. Begrijp ik het goed dat de consequentie voor Nederland is dat we voortaan niet meer mogen afwijken van de in de verordening vastgelegde regels? Wordt onze Wet bescherming persoonsgegevens dus door Europa herschreven? Is het voortaan nog toegestaan om af te wijken naar boven, zoals wij zeer graag willen, en daarmee in de nationale wet een hoger beschermingsniveau te bieden dan in de Europese verordening is overeengekomen?

We spreken nu niet op detailniveau over deze verordening en deze richtlijn. Ik zal me dus beperken tot een aantal opmerkingen. Wel wil ik op een aantal zaken wat nader ingaan. Mijn fractie is voorstander van een ruimere meldplicht voor datalekken. Niet de inbreuk op beveiligingsmaatregelen maar de ongeautoriseerde toegang tot persoonsgegevens moet leidend en bepalend zijn voor de vraag of het lek gemeld moet worden. De meldplicht geldt dan dus ook indien per ongeluk een databestand met persoonsgegevens op internet wordt geplaatst. Ik ontvang hierop graag een reactie van de staatssecretaris.

Ik mis in het voorstel duidelijkheid over wat bedrijven moeten doen als ze worden geconfronteerd met vordering van gegevens door autoriteiten uit andere landen. Een eerdere versie van het voorstel bevatte de duidelijke bepaling dat je geen gegevens mag overdragen zolang er geen goede waarborgen voor de persoonsgegevens zijn. Nu, met de huidige tekst, lijkt het erop dat bedrijven klem komen te zitten tussen bijvoorbeeld het opeisen van gegevens door de VS en de Europese wet, die overdracht van die gegevens verbiedt.

Het is voor mijn fractie een belangrijk punt dat de richtlijn waarin regels staan voor justitie en politie, een laag niveau van gegevensbescherming heeft. Dat wordt ook gezegd door het CBP, de European Data Protection Supervisor (EDPS) en de artikel 29-werkgroep. Heeft Nederland na eventuele inwerkingtreding van deze richtlijn nog mogelijkheden om meer bescherming te bieden en af te wijken naar boven?

Er is kritiek op de samenhang van de voorstellen, onder andere door het CBP. Belangrijke uitgangspunten voor gegevensverwerking zoals doelbinding, juistheid van de gegevens en het niet langer dan noodzakelijk bewaren van gegevens, moeten ook gelden voor politie en justitie. Deelt de regering die mening en is de staatssecretaris bereid om hier nog eens goed naar te kijken en te reageren op de kritiek van onder andere het CBP?

Mevrouw Van Toorenburg (CDA): Voorzitter. Dit is zo'n dag waarop je een AO voorbereidt en daarvoor twee zeer interessante technische briefings bijwoont. Dan denk je: pas na het AO snappen we het echt. Dit is dus een uitdaging. Ik wil de staatssecretaris en de Kamerorganisatie bedanken voor het feit dat er zo zorgvuldig is gewerkt aan een goede informatieoverdracht vanuit de Europese Commissie en vanuit het ministerie.

Wij hebben ook een goed gesprek gehad met de voorzitter van het College bescherming persoonsgegevens. Hij signaleerde terecht dat de Kamer steeds meer waarde hecht aan het actief en voorafgaand moeten geven van toestemming om gegevens te gebruiken. Ik wijs bijvoorbeeld op de discussie over opt in en opt out en op de motie daarover van mij en de heer Elissen. We begrijpen dat de voorliggende regelgeving hierop gebaseerd is. Sterker nog, er is sprake van steeds meer uitdrukkelijke toestemming. Wat de CDA-fractie betreft houdt de staatssecretaris daar straks ook aan vast. «Putting individuals in control of their personal data» is een belangrijk uitgangspunt. Wat ons betreft heeft de staatssecretaris dat goed in handen.

Wij spreken met mensen, krijgen brieven en spraken met de voorzitter van het College bescherming persoonsgegevens. In het algemeen lijkt het beeld te ontstaan dat er sprake is van lastenverlichting. Na de technische briefings van vandaag beginnen wij daar echter heel erg aan te twijfelen. Wij begrijpen dat de lastenverlichting van het contact tussen het College bescherming persoonsgegevens – of de overheid in brede zin – en de bedrijven afneemt. Er hoeft minder gemeld te worden. In de uitvoering moet echter heel veel geregeld worden door bedrijven. Daarover ontstaan toch grote zorgen. Wij vernemen graag de zienswijze van de staatssecretaris daarop. Het lijkt wel alsof er veel meer lasten komen voor bedrijven. Dat baart ons echt zorgen.

Wij realiseren ons dat informatie het nieuwe goud is. Bij het ontwikkelen van nieuwe producten moet rekening gehouden worden met de impact op persoonsgegevens en de bescherming daarvan: privacy by design. Daar komen wij zo nog op terug met een suggestie.

Wij vinden het goed dat er één loket is voor bedrijven, zodat zij niet hoeven te shoppen bij dataprotectieautoriteiten in geval van grensoverschrijdendheid. Wij zijn voorstander van één lead authority en één main establishment. Gezien de stukken vraagt dit onderwerp wel om meer duidelijkheid, bijvoorbeeld voor bedrijven. Waar zit een hoofdvestiging? Daar heeft ook de voorzitter van het CBP op gewezen. We begrijpen dat bedrijven met meerdere vestigingen nog steeds kunnen shoppen als zij bepalen wat hun hoofdvestiging is. Waar is dat main establishment en aan welke regels zijn zij te houden? Hoe kijkt de staatssecretaris daarnaar en welke inzet heeft hij op dit punt?

Het lijkt dus alsof er sprake is van lastenverlichting, maar we blijven worstelen met het criterium van 250 medewerkers bij een bedrijf. In eerste instantie waren we even op het verkeerde been gezet omdat we dachten dat het ging om aantallen en niet om het soort bedrijf. Vanochtend begrepen wij van de Europese Commissie dat dit toch wel zo is. Het lijkt erop dat een bedrijf met meer dan 250 werknemers zich aan heel veel regels moet houden en een bedrijf met minder werknemers ook minder regels in acht hoeft te nemen, tenzij de core business het omgaan met persoonsgegevens is. Kan de staatssecretaris daar extra op letten? Het aantal van 250 medewerkers lijkt namelijk een arbitrair criterium. Wat zegt dat nu eigenlijk? Je moet wat mij betreft kijken naar de impact die een bepaalde schending zou kunnen hebben. Dat lijkt ons belangrijker.

Gezien de tijd sluiten wij ons aan bij de opmerkingen van de SP-fractie over de gegevensuitwisseling. Het baart ons ook zorgen dat er steeds een omweggetje lijkt te worden gemaakt door niet langs rechtshulpverdragen te gaan, maar vrij direct om gegevensuitwisseling te vragen. Wat betreft het meldpunt voor datalekken lijkt het verder te gaan dan de huidige nationale meldplicht waarover wij het onlangs hebben gehad tijdens het AO over privacy. Hoe verhoudt het een zich tot het ander?

Ik wil nog even kort een centenkwestie aan de orde stellen. Wij begrijpen van het College bescherming persoonsgegevens dat het te weinig geld heeft. In Frankrijk zien we dat bedrijven die worstelen met privacybescherming, zich kunnen wenden tot de autoriteit om te vragen of iets mag. In Nederland geeft het College bescherming persoonsgegevens op een dergelijke vraag geen antwoord. Het moet eerst uitgewerkt worden en dan pas kan het CBP zeggen of er sprake is van een inbreuk of niet. Zouden we bedrijven toestemming kunnen geven om een soort prejudiciële beslissing te vragen aan het college? Daar betalen ze dan gewoon voor, net als in Frankrijk. Dan kunnen ze daarna beter verder. Zo heeft het college meer inkomsten en zijn bedrijven niet bezig met een zoekplaatje.

Wat betreft de procedure denk ik dat mevrouw Gesthuizen terecht de vraag heeft gesteld wanneer we op de hoogte worden gehouden van de stappen. Daar sluiten we ons volledig bij aan.

De heer Van der Steur (VVD): Voorzitter. Het gaat nu vooral over de procedure en daarom zal ik alleen in grote lijnen iets over de inhoud van de beide documenten zeggen. Laat ik beginnen met de procedure. De VVD-fractie hecht eraan dat het behandelvoorbehoud zoals dat nu bestaat, er is, blijft, wordt uitgevoerd en wordt ingevuld. Wij verlangen van de regering dan ook het volgende. We willen graag gedurende de onderhandelingen, niet alleen in de Raad, maar ook in de Raadswerkgroep of de daaronder hangende organisaties, schriftelijk op de hoogte gehouden worden van bewegingen die gevolgen hebben voor Nederland, voor de Nederlandse inzet en voor de onderhandelingen in het algemeen. Ook willen we weten wat die gevolgen precies zijn, met name op het gebied van een aantal onderwerpen, namelijk de uitvoerbaarheid van de voorstellen voor bescherming van persoonsgegevens, de kosten en de financiële gevolgen voor Nederland en met name voor het Nederlandse bedrijfsleven. Mevrouw Van Toorenburg wees er al op dat de administratieve lasten wellicht zullen dalen, maar dat het zeer de vraag is of de nalevingskosten voor het Nederlandse bedrijfsleven zullen dalen. Als dat niet zo is, is wat de VVD-fractie betreft een deel van de doelstelling van de nieuwe regeling niet gehaald. Dat geldt ook voor de voorgestelde delegatiebevoegdheid en de gedelegeerde handelingen aan de Europese Commissie. De VVD-fractie is daar zeer kritisch over. Als je kiest voor een one stop shop, moet je dat delegeren en decentraliseren in de landen; daar moeten de beslissingen genomen worden. Dat betekent dat je niet weer allerlei besluitbevoegdheden en andere handelingen moet delegeren aan de Europese Commissie zelf. Dan krijg je namelijk toch op diverse niveaus organisaties die zich bezighouden met de bescherming van privacy. Bovendien doen die dat dan heel ver weg van de plek waar de effecten van die bepalingen worden gevoeld, namelijk in de lidstaten zelf.

Dat geldt ook voor de gevolgen van de regelgeving voor het ambitieniveau van Nederland met betrekking tot de bescherming van de persoonsgegevens. Ik hecht eraan op te merken dat de persoonsgegevens moeten worden beschermd waar dat nodig is. Dat betekent ook dat we graag geïnformeerd willen worden over de gevolgen van de regelgeving en de wijzigingen die plaatsvinden voor de Nederlandse rechtshandhavingdiensten zoals die nu voorzien zijn in de richtlijn.

Wij maken ons zorgen over de bureaucratie. De one stop shop kan het volgende tot gevolg hebben: als een bedrijf in meerdere lidstaten gevestigd is of daar vestigingen heeft, moeten er allerlei overlegstructuren zijn tussen de autoriteiten van de diverse lidstaten. Wat doet dat voor de bureaucratie? Hoe zit het met het European Data Protection Board? Wordt dat niet weer een waterhoofd bovenop de autoriteiten die al in de lidstaten bestaan? Kan de staatssecretaris toezeggen dat hij deze informatie zal verstrekken naast het proces van de JBZ? Voor de VVD-fractie zijn de richtlijn en de verordening zo belangrijk dat we het niet passend vinden om die ook weer toe te voegen aan de vijf minuten die we in het AO over de JBZ-Raad hebben. We willen dat daarover separaat overleg plaatsvindt. Zowel voor de inwoners van Nederland als voor het bedrijfsleven is dit zeer belangrijk.

De VVD-fractie wil altijd hetzelfde. Als bedrijven zoals Google of Facebook – eigenlijk maakt het niet uit of ze groot of klein zijn – te maken krijgen met persoonsgegevens, wil je dat daar zorgvuldig mee wordt omgegaan en dat daar toezicht op mogelijk is. Wat je niet wilt, is dat de drogist op de hoek die een mailing wil sturen aan zijn klanten over een nieuwe kleur haarverf, aan alle verplichtingen moet voldoen die door de dataprotectierichtlijn worden gesteld. Dat is naar mijn stellige overtuiging in de nieuwe verordening wél het geval. De vraag is of wij daarmee niet veel te ver gaan in wat we willen bereiken. Ik wijs erop dat security breaches niet in de verordening zijn opgenomen, terwijl daar wel per aangenomen motie om is gevraagd. Dat gaat dus om het doorbreken van de veiligheid. Dat kan namelijk een opmaat zijn naar het daadwerkelijk stelen of uitlekken van persoonsgegevens of data. Dat ziet de VVD-fractie niet terug. Ik denk dat het heel goed zou zijn als de staatssecretaris aangeeft hoe hij daartegen aankijkt.

Omdat dit een vrij ingrijpend voorstel is met veel aspecten, lijkt het ons verstandig om een separate schriftelijke vragenronde in te lassen. Zo nodig zal ik daar bij de volgende procedurevergadering om vragen. Zo kan de staatssecretaris ook in de diepte antwoord geven op de vele vragen. Ik waarschuw alvast: het gaat in ons geval al om ongeveer vijf pagina's vol vragen. We willen weten hoe het precies gaat werken. We hebben namelijk het gevoel dat ook ten aanzien van een aantal regels nog steeds niet duidelijk is hoe het in vredesnaam moet worden uitgevoerd. We kunnen niet akkoord gaan met onderhandelingen over een verordening of richtlijn waarvan wij eigenlijk niet precies weten hoe die in de praktijk zal werken. De doelen zijn – en de VVD-fractie onderschrijft die van harte – verlichting van de administratieve lasten, vermindering van de nalevingskosten en een verbetering van de bescherming van persoonsgegevens. Dat zijn de doelen die bereikt moeten worden. De vraag is echter of wij die hiermee echt gaan bereiken.

De heer Recourt (PvdA): Voorzitter. Ik sluit me aan bij de opmerking van de VVD-fractie over een nadere schriftelijke vragenronde. We hebben een hoop post gekregen. Ik noem maar wat afzenders: Privacy First, de commissie-Meijers, Bits of Freedom, de Kamer van Koophandel etc. Daarin staan allerlei zinvolle vragen en het zou mij een hoop tijd schelen als ik die schriftelijk kon stellen. Dan heb ik wat meer tijd voor de dingen die ik nu wil zeggen.

Vorige week dinsdag heb ik als aftrap voor de dodenherdenking en de bevrijdingsfeesten een boekje ontvangen. Het thema is dit jaar «Vrijheid geef je door». Daarbij is een doorgeefboek over verzetshelden of hun vrienden gepubliceerd. Ik heb gezegd dat de grootste bedreiging voor onze vrijheid op dit moment de privacyschendingen op internet zijn. We kunnen ons hele hebben en houden op internet kwijtraken. Dat kan ongelooflijke schade veroorzaken. Alle grenzen tussen wat privé en publiek is, dreigen te verdwijnen als je dat niet goed regelt. Het thema heeft dus grote raakvlakken met wat we vandaag bespreken. Als we Big Brother niet daadwerkelijk willen realiseren, ligt er een taak voor de overheid om grenzen te stellen aan wat wel en wat niet vrijelijk verhandeld kan worden. Het verdienmodel van veel bedrijven is namelijk het verhandelen van privégegevens. In dat kader wil ik via de bode dit boek graag overhandigen aan de staatssecretaris. Ik verzoek hem het te lezen en het weer door te geven aan iemand anders in de politiek en door te laten geven tot en met 5 mei.

Ik ga door met de richtlijn en de verordening. Ik vind het belangrijk dat de basis is geregeld in een verordening. Dat is goed voor de harmonisatie binnen Europa. Dat is tot nu toe namelijk niet goed gegaan, want het ging veel te ver uit elkaar lopen. Belangrijke punten die de PvdA-fractie als positief beschouwt, zijn toegang tot de eigen gegevens, de opt in, het right to be forgotten, dataportabiliteit en de one stop shop. Dit zijn allemaal elementen waar we in beginsel zeer positief tegenover staan.

Ik wil echter ook enkele zorgen meegeven. Een one stop shop is prachtig, als die werkt binnen alle EU-lidstaten. Hoe organiseren we dat de capaciteit, de kwaliteit en de onafhankelijkheid van die dataprotectieautoriteiten op orde zijn? Daar moeten we wel op kunnen vertrouwen als we hier een privacyprobleem hebben en het thuisland een ander land is. Ook voor Nederland is dit relevant. Onze eigen dataprotectieautoriteit, het CBP, zegt te weinig capaciteit te hebben, bijvoorbeeld met betrekking tot het meldpunt datalekken. Ik heb hier ook al schriftelijke vragen over gesteld.

Ik moet zeggen dat ik sterk op de lijn van de VVD-fractie zit wat betreft de extra eis voor bedrijven met meer dan 250 werknemers en de kleine bedrijven die dataverwerking als core business hebben. Ik hoop dat we een criterium kunnen vinden dat het mogelijk maakt een last te leggen op de mate waarin privacyschendingen voorkomen in plaats van op de grootte van een bedrijf. Er is ook nog een tussencategorie. Het gekozen instrumentarium lijkt niet heel praktisch te zijn.

De verordening moet ook bescherming bieden tegen het opvragen van persoonsgegevens door buitenlandse bedrijven. De verordening moet ook volledig betrekking hebben op gratis diensten. Mijn andere vragen bewaar ik voor de schriftelijke ronde. Tot slot spreek ik nogmaals uit dat de verordening kan rekenen op een positieve basishouding van de PvdA-fractie. De uitgangspunten zijn goed, maar over de precieze invulling heb ik nog enige vragen. De antwoorden daarop wachten we af. We gaan ervan uit dat de Kamer actief, vooraf, geïnformeerd wordt. Mevrouw Gesthuizen heeft dat al duidelijk in de verf gezet.

Mevrouw Peters (GroenLinks): Voorzitter. Ik vervang mijn zieke collega Tofik Dibi, maar ik heb me met plezier ingelezen in dit onderwerp. Er ligt een groot en vergaand pakket op tafel inzake de privacybescherming in de toekomst in Europa. Er is sprake van dwingend recht. Dat gaat dus ook veel consequenties hebben voor ons eigen nationale rechtssysteem. Er zitten veel goede dingen in. Het gaat uit van het idee dat je als burger in eerste instantie zelf de eigenaar bent van je persoonsgegevens. Het is meer gericht op de bescherming van de privacy van de internetgebruiker. Als het misgaat en persoonsgegevens op straat komen te liggen, komen daar hogere boetes tegenover te staan. Dat juichen wij toe. Al die vrijheid is mooi, maar in het digitale tijdperk is het goed dat een nieuwe norm de uitdaging wordt: persoonsgegevens goed bewaren en beschermen.

Ik sluit mij aan bij de informatievoorzieningsbehoeften zoals die zijn neergelegd. In aanvulling daarop zou ik graag bij huidige en toekomstige voorstellen steevast geïnformeerd willen worden over de vraag of daarmee het voorgestelde regime afwijkt van het Nederlandse regime. Ik heb begrepen dat de conceptrichtlijn op sommige punten onder het huidige Nederlandse niveau duikt. Over dat soort dingen wil ik graag een alarmalinea krijgen. Het moet wel mogelijk blijven om het beter te doen als we het al beter geregeld hebben.

Ik sluit mij aan bij vragen over het in kaart brengen van de financiële consequenties van implementatie. Dat geldt niet alleen voor bedrijven, maar ook voor het CBP. Als dat meer taken krijgt, staat daar vast een grotere behoefte aan uitvoeringscapaciteit tegenover. Er moet tijdig in kaart worden gebracht hoe dat gedekt kan worden.

Graag ontvang ik informatie over de uitwisseling van gegevens voor opsporingsdoeleinden tussen lidstaten. In wat voor situaties komen we als er tussen lidstaten verschillen bestaan in beschermingsniveau? We kunnen de normen wel gelijk stellen, maar in de praktijk kunnen er verschillen zijn in de mate waarin lidstaten in staat zijn om de benodigde bescherming te bieden. Graag krijg ik hier inzicht in.

Zoals ik het nu begrijp, zijn de verplichtingen voor databescherming voor bedrijven niet hetzelfde als voor overheden. Terwijl er juist ook bij overheden grote problemen zijn. Ik wijs op incidenten met het DigiD en met DigiNotar. Ik geloof dat Webwereld al weken allerlei provincies en gemeenten aan het hacken is om te laten zien dat dit makkelijk gaat. Ik vind het heel zorgelijk als dat inderdaad de bevinding is. Ik wil hierover graag geïnformeerd worden. De overheid moet net als bedrijven persoonsgegevens heel goed beschermen. Als er voor overheden afwijkende verplichtingen gelden, wil ik weten waarom dat zo is. Dan zou onze inzet een andere zijn. Qua meldplicht willen wij dezelfde verplichtingen als voor bedrijven. Bij handhaving en boetes moet ook eenzelfde aansprakelijkheid gelden. Er moeten niet meer gegevens bewaard worden dan noodzakelijk is. Bedrijven moeten daarop letten, maar voor overheden geldt blijkbaar een ander criterium. Daar geldt dat het alleen niet excessief mag zijn. Dat is nauwelijks een criterium, want daar kan van alles onder vallen. Waarom geldt daar meer coulance, terwijl de praktijk juist uitwijst dat de overheid heel grote problemen heeft met de bescherming van persoonsgegevens? Ik was vandaag in het bijzonder bezorgd vanwege de Belastingdienst, die kennelijk data doorsluist aan private verhuurpartijen. Mag dat op grond van deze nieuwe regelgeving en mag dat trouwens ook op grond van de huidige wet?

Ik wil ook graag geïnformeerd worden over collectief actierecht. Ik heb begrepen dat het in strijd is met de mogelijkheden die Nederland al biedt. Er worden onnodig beperkingen aan gesteld in het pakket van de Europese Commissie. Wij zijn daar geen voorstander van. Ik sluit mij aan bij de opmerking over het nogal grove criterium dat kleine bedrijven of bedrijven met een buitenlandse vestigingsplaats buiten de werking van het pakket blijven. Het doorslaggevende criterium zou hun activiteit moeten zijn. Daaruit moet worden afgeleid of bedrijven al dan niet onder de Europese beschermingsregels moeten vallen.

De heer Elissen (PVV): Voorzitter. Dit is een hectische dag. We hoppen van de plenaire zaal, naar deze zaal en weer terug. Dat is niet omdat we dit niet belangrijk vinden, maar omdat we verschillende dingen tegelijk moeten doen. Als ik dus iets roep wat al gezegd is, moet men mij dat maar niet kwalijk nemen. Dit is een belangrijk thema. We zijn erover gebriefd door het CBP en vandaag hadden we twee technische briefings. Mijn complimenten voor de informatie die de regering ons heeft doen toekomen. We zijn behoorlijk goed voorzien, maar er zijn toch nog wel enkele vragen.

Als de Europese regelgeving normen voor privacy- en dataprotectie oplegt die minder ver gaan dan Nederland redelijk vindt, kan Nederland dan zelf een eigen ondergrens kiezen die scherper is dan de Europese regelgeving voorschrijft? Dat is een punt van zorg voor ons. Ik heb begrepen dat de implementatie van een aantal zaken bijvoorbeeld in Ierland veel softer is dan in Duitsland. Duitsland is immer gründlich. Wij sluiten ons liever aan bij de strenge Duitse dan bij de soepele Ierse normering. Hoe kijkt de staatssecretaris daartegen aan?

Dan kom ik op de beleidsvrije ruimte. Het is een harmoniseringsproces, maar de beleidsvrije ruimte blijft bestaan om de eigen soevereiniteit in de gaten te houden. We moeten zorgen dat het in ieder geval in Nederland goed geregeld is. Laten we volstrekt helder zijn: aan Europa hebben we vrijwel nooit boodschap en dit hebben we jarenlang multilateraal goed op kunnen lossen. Om sommige zaken kun je echter niet heen. Dan willen we in ieder geval positief kritisch meekijken. Een enorm zorgpunt is artikel 82a. Wat ons betreft zou dat opnieuw moeten worden opgenomen in het verdrag. Ons uitgangspunt is eigenlijk dat gegevens van Nederlanders alleen op basis van rechtshulpverzoeken en dus met rechterlijke toetsing worden overgedragen aan andere staten. Dat uitgangspunt is op de een of andere manier verlaten. Voor ons is dit echter een absolute voorwaarde. Die rechtsbescherming is gewoon hartstikke belangrijk. Daar staan wij voor.

We kennen allemaal die fantastische websites waarop je in heel kleine lettertjes een heel verhaal krijgt voorgeschoteld. Ik spreek maar even voor mezelf, maar ik heb het opgegeven om dat allemaal te lezen. Dat geldt denk ik voor heel veel burgers. Die expliciete toestemming moet heel expliciet zijn, maar ook heel kort en krachtig en in jip-en-janneketaal zodat iedereen het makkelijk kan begrijpen. Hoe kijkt de staatssecretaris daartegen aan?

Dan kom ik op de criteria voor het midden- en kleinbedrijf. Daar is onduidelijkheid over. Misschien kan de staatssecretaris die onduidelijkheid wegnemen. Voor het mkb geldt een lichter regime. Daar zijn we het in principe mee eens, want dat moet niet onnodig belast worden. Het criterium is meer dan 250 fte. Ik heb begrepen dat er in Oostenrijk geen enkel bedrijf bestaat met meer dan 250 fte. Volgens ons moet je vooral kijken naar de risico's van een bedrijf. Geldt het ook voor bedrijven, hoe klein ook, die data verzamelen? Misschien kan de staatssecretaris nog wat explicieter ingaan op de risicodekking. Dat aantal hoeft voor ons dus niet zo hard te zijn.

Ik heb begrepen dat er een level playing field moet zijn als het gaat om het instrumentarium dat de dataprotectieautoriteiten, in ons geval het CBP, kunnen hanteren. Ik heb me laten vertellen dat in meer dan de helft van het aantal landen nu al een bestuurlijke boete mogelijk is. In Nederland kan alleen een last onder dwangsom worden opgelegd. Hoe kijkt de staatssecretaris daartegen aan? Is hij bereid om het voorstel voor die bestuurlijke boete dat ooit in de koelkast is gezet, weer tevoorschijn te halen? Voordat dit hele proces – het gaat allemaal niet zo snel in Brussel natuurlijk; dat is soms maar goed ook – is afgerond, zijn we een paar jaar verder. Intussen willen we wel dat de waakhond tandjes krijgt, in ieder geval scherpe hoektandjes.

Staatssecretaris Teeven: Voorzitter. Ik dank de Kamerleden voor hun inbreng. Dit onderwerp houdt de Kamerleden bijzonder bezig, maar dat wist ik al. Dank aan de heer Recourt voor het boek Verzetshelden en moffenvrienden van Ad van Liempt. Ik zal het boek met aandacht lezen en ik zal hem persoonlijk laten weten wat ik ervan vind. Ik zal het ook doorgeven aan iemand anders. Ik denk dat het inderdaad zeer de moeite waard is om dit boek te lezen. De link die de heer Recourt aanbrengt tussen dit boek en het omgaan met internetvrijheid, begrijp ik wel. Dat is inderdaad misschien wel het belangrijkste onderwerp van dit decennium.

Ik wil nu eerst ingaan op de procedure en de daarover gestelde vragen. Daarna kom ik op de inhoudelijke vragen. Volgens mij gaat dit AO in feite over de procedure en niet over de inhoud, maar ik zal er uiteraard wel wat opmerkingen over maken, ook naar aanleiding van het AO over privacy dat wij vorig jaar hebben gevoerd. Toen is een driedeling aangebracht. Ik zie de informatievoorziening aan het parlement ten aanzien van de procedure rond deze beide onderwerpen als een drietrapsraket. In de eerste plaats ontvangt de Kamer informatie rechtstreeks uit Brussel. In de tweede plaats is tussen mijn departement en de Kamer de afspraak gemaakt dat we ook documenten als de geannoteerde agenda, het verslag van de Raad, voorstellen waarop het instemmingsrecht van toepassing is en het jaarlijkse verslag over de uitvoering van het Stockholm Programma naar de Kamer zullen sturen. In de derde plaats heb je ook nog te maken met restreintdocumenten. Enkele Kamerleden hebben daar vragen over gesteld. Mevrouw Gesthuizen vroeg bijvoorbeeld hoe het zit met de standpunten van de andere lidstaten. Ik zal daarop straks een heel expliciet antwoord geven en daarbij de consequenties voor de procedure betreffende restreintdocumenten aangeven.

Toch is het, denk ik, goed om allereerst te kijken naar wat het parlementaire voorbehoud inhoudt. De regering heeft het, onder verwijzing naar artikel 4 van de rijkswet, als volgt begrepen. De Kamer geeft aan dat zij op een bijzondere wijze wenst te worden geïnformeerd. Dat heeft ze nu gedaan. Vervolgens melden we bij het secretariaat-generaal van de Raad dat er een parlementair voorbehoud is gemaakt in het kader van de te volgen procedure voor de behandeling van het voorstel. Daarna volgt een overleg – dat is dit overleg – over de wijze waarop die procedure wordt ingevuld. Dat overleg kan eventueel nog worden gevolgd door een voortgezet overleg. De eventueel naar aanleiding van dit overleg in te dienen moties maken dan onderdeel uit van het procedureoverleg. Zoals het kabinet het heeft begrepen, wordt het parlementaire voorbehoud opgeheven na afronding van de procedure, inclusief een eventueel verslag van een algemeen overleg. Naar het oordeel van de regering is dat de te volgen procedure.

Mevrouw Gesthuizen heeft een vijftal heel scherpe vragen gesteld. Enkele Kamerleden zijn daar ook op ingegaan bij de bespreking van de procedure. In haar eerste termijn heeft mevrouw Gesthuizen de vragen puntig op een rij gezet. Ze vroeg om een schriftelijke reactie op het standpunt van het CBP. Ja, daar is de regering toe bereid; die krijgt de Kamer dus van de regering. Verschillende woordvoerders wilden weten hoe het zit met de planning van de Raad. Dat was ook de tweede vraag van mevrouw Gesthuizen. Hoe gaat die planning eruitzien? We denken – we kunnen het echter niet met zekerheid zeggen – dat er in juni voor het eerst over de verordening en de richtlijn zal worden gesproken, dat het dan voor de eerste keer geagendeerd staat in de Raad. Dit betekent uiteraard niet dat de Kamer tot juni geen informatie krijgt, want er zal ook de nodige voorbereiding op ambtelijk niveau plaatsvinden. Ik kan niet meteen van elke ambtelijke voorbereiding informatie naar de Kamer sturen, want – daarmee kom ik op de derde vraag van mevrouw Gesthuizen – die voorbereiding heeft betrekking op zowel de standpunten die lidstaten in de Raad zelf zullen innemen als op de standpunten die de lidstaten innemen in de periode voorafgaand aan de eerste Raad waar dit wordt besproken. De leden kennen uiteraard de procedure betreffende de restreintdocumenten. Als bijvoorbeeld standpunten van andere lidstaten under restreint worden verstrekt, zal per geval worden beoordeeld of aan het verzoek van de Kamer gehoor kan worden gegeven om het standpunt van die andere lidstaat met deze Kamercommissie te delen. Als de beoordeling positief is, dienen de veiligheidsregels van de Raad voor veiligheid en justitie en van het desbetreffende nationale parlement te worden gerespecteerd. Daar is in het verleden wel eens een probleem over geweest. Wellicht herinneren de commissieleden zich dat leden van de Eerste Kamer twee jaar geleden informatie hebben gedeeld die under restreint was verstrekt. Daar heeft Nederland in de besprekingen in Brussel daadwerkelijk last van gehad. De regering zal dus terughoudend zijn met het doorbreken van die procedure. Als het kan, zal informatie gedeeld worden. Als het niet kan, kan het niet. Als we die restreintprocedure hanteren, versturen we de documenten in hard copy. Deze worden dan ter inzage bij het register van de Kamer neergelegd. Dat is de feitelijke gang van zaken.

Staatssecretaris Teeven: Waar mevrouw Peters het over heeft, is onderwerp van bespreking geweest in het door mij al aangehaalde voorval van anderhalf of twee jaar geleden met de andere Kamer van het parlement. Inderdaad komen in een lidstaat soms zaken in de openbaarheid en is dan voor iedereen na te gaan wat het standpunt van die lidstaat is. Dat betekent echter nog niet dat die lidstaat dan in concreto akkoord is met het door andere lidstaten verstrekken van die informatie aan hun parlement. Dat was ook het onderwerp van de discussie waar ik naar verwees. We zullen er zorgvuldig mee omgaan. We hebben er een procedure voor. Ik kan leden van de Tweede Kamer of de Eerste Kamer natuurlijk niet verbieden in het openbaar iets waar te nemen. Daar gaat de regering niet over. De regering is echter wel gebonden aan de in Brussel afgesproken procedure betreffende de restreintdocumenten. We zullen ons daaraan houden. Dat zal soms dus tot beperkingen leiden, zeg ik ook in reactie op de vraag van mevrouw Gesthuizen hierover, en heel soms ook – ik ken er de voorbeelden van – tot situaties zoals mevrouw Peters die beschrijft.

Mevrouw Gesthuizen en ook andere leden vroegen hoe het zit met de wijziging van de artikelen 40 tot en met 45, die gaan over de informatieverstrekking aan derde landen. We moeten nog even wachten op nieuwe concepten. Dit is het eerste concept. Er was een concept van half januari, dat snel werd vervangen door het concept van 25 januari. Als er over dit onderwerp aangepaste documenten komen, zullen we de commissie daarover informeren.

Mevrouw Gesthuizen vroeg naar een concept van een gezamenlijk standpunt. Het zal nog even duren voor de Raad en de Commissie daaraan toekomen. De commissieleden zullen dit ook wel begrijpen, denk ik. Als het gezamenlijk standpunt er is, zal het met een beleidswaardering van de regering aan de commissie worden toegezonden en kunnen we er met elkaar over spreken.

Hiermee heb ik alle vragen van de verschillende leden over de procedure beantwoord. Ik kom nu op de bespreking van de inhoudelijke vragen.

Staatssecretaris Teeven: De heer Elissen heeft het al concreter gekregen. Ik zal er ruimhartig voor zorgen dat hij goed wordt geïnformeerd.

Ik heb de vraag over het Coreper van mevrouw Gesthuizen nog niet beantwoord.

Staatssecretaris Teeven: Ik wil voorkomen dat er nu weer een misverstand ontstaat. Mevrouw Peters spreekt over een richtlijn; daarmee bedoelt ze de richtlijn met betrekking tot de opsporing. Voor die richtlijn geldt niet wat ik zojuist over de verordening heb gezegd. Op de richtlijn kan wel een nationale kop worden gezet en in de nationale wetgeving kan wel meer – minder kan niet – rechtsbescherming worden geregeld dan in de richtlijn staat. Bij die richtlijn speelt dat probleem van het niet kunnen afwijken niet. Als Nederland nu meer rechtsbescherming biedt dan de voorgestelde richtlijn, kan dat dus wel. Bij de verordening ligt dat anders. Dat verschil moeten wij met elkaar goed zien.

Mevrouw Peters vroeg waar ik problemen zie ontstaan, waar ik geen problemen zie, waar het parallel loopt met de Nederlandse inzet en waar het parallel loopt met wat wij hebben gedeeld in het AO van vorig jaar over privacy. De heer Elissen stelde een vraag over de bestuurlijke boete. Ik roep in herinnering dat ik in dat AO heb gezegd dat ik graag de Europese ontwikkelingen met betrekking tot dat onderwerp wilde afwachten, want ik meende dat het verstandig zou zijn om te bekijken wat Europa concreet van plan is. De regering had destijds al ideeën over de hoogte van de bestuurlijke boete. We zien nu dat de Europese Commissie in die verordening voorstellen doet voor aanzienlijk hogere boetes en zwaardere sancties. Niet iedereen was het er in dat AO over eens, maar achteraf was het dus heel verstandig dat ik met de uitwerking van sommige onderdelen van de privacywetgeving even heb gewacht op de Europese ontwikkelingen. Er is nu in de tussentijd geen onzinnig dubbel wetgevingswerk verricht en de regering en de Kamer kunnen nu desgewenst veel beter anticiperen op wat er in die verordening staat.

Ik zal nu kort aangeven waar ik parallellen zie en waar ik die absoluut niet zie. Daarmee reageer ik op de vraag van mevrouw Peters. Daarna kom ik op iets heel anders, namelijk de capaciteit van de nationale handhaver, waarover enkele commissieleden ook vragen hebben gesteld. Bij een aantal onderwerpen die ik voornemens was te regelen, zie ik verschillen. Dat zijn verschillen met wat we met elkaar gedeeld hebben in het AO over privacy. Het gaat dan bijvoorbeeld over het profileren van persoonsgegevens, de status van het beroepsgeheim en de omstandigheden waaronder we kunnen afwijken van het beroepsgeheim. We weten op dit moment gewoon nog te weinig over de verordening. We moeten dus eerst in het ambtelijk overleg beter worden geïnformeerd. We zitten nu gewoon nog in een vroeg stadium. We zullen eerst moeten luisteren naar hoe de Commissie daar concreet over denkt.

Ik zie wel parallellen bij enkele onderwerpen waarover verschillende woordvoerders hebben gesproken: het door de heer Elissen genoemde privacy by design, het opstellen van PIA's (privacy impact assessments) en het zorgen voor een afdoende wettelijke grondslag voor ingrepen van de overheid op de mate van privacy. Dan zie ik in de verordening eigenlijk alleen maar parallellen met datgene wat de regering al wilde regelen. Het enige commentaar van de commissie in het AO over privacy was: staatssecretaris, maak een beetje tempo, want de urgentie is groot. Als er parallellen zijn en als de verordening een kant opgaat die strookt met de ideeën die we al hebben, zijn die parallellen waarover we het hebben gehad, ook de inzet van de Nederlandse regering bij de onderhandelingen. Ten aanzien van de onderwerpen waarbij er geen parallellen zijn – soms zijn dat ook de onderwerpen waarover de commissieleden vandaag hun zorgen hebben geuit – kan de Kamer verwachten dat de Nederlandse regering een andere inzet zal hebben.

Mevrouw Peters vroeg expliciet hoe het zit met de capaciteit van de nationale handhavers en van het CBP. Ook anderen hebben daarover gesproken. In de afgelopen jaren, vanaf 2005, is de begroting van het CBP aanzienlijk in omvang toegenomen, ook nominaal. Er is nu een bepaald aantal fte's binnen het CBP en het CBP zal, net als elke toezichthouder in Nederland, prioriteiten moeten stellen. De commissieleden zullen begrijpen dat ik, gelet op de gesprekken over financiële ruimte die op dit moment in het Catshuis tussen vertegenwoordigers van de gedoogpartijen plaatsvinden, vandaag in ieder geval geen uitspraken zal doen over meer of minder financiële ruimte voor het CBP.

Staatssecretaris Teeven: Ik kom nu bij een heleboel inhoudelijke onderwerpen die erbij zijn gekomen. Over de verordening, het door mevrouw Gesthuizen gevraagde hoge beschermingsniveau en over de toezichthouder heb ik al gesproken. Mevrouw Gesthuizen sprak ook over de meldplicht ten aanzien van datalekken. Daarbij gaat het niet alleen om de doorbraak van beveiligingsmaatregelen, maar om alle vormen van ongeautoriseerde toegang. Het voorstel van de Commissie is conform de e-Privacyrichtlijn. In grote lijnen volgt mijn voorstel die richtlijn. De vraag is eigenlijk of er bij de lidstaten voldoende draagvlak is voor verdergaande maatregelen met betrekking tot die verordening. Dat weten wij op dit moment nog niet. Het concrete antwoord op de vraag van mevrouw Gesthuizen is dus dat ik de ontwikkelingen in Brussel moet afwachten voordat ik kan zeggen of dit de inzet van de Nederlandse regering kan zijn. Bij zo'n voorstel moet je ook even aftasten hoe je daar vervolgens mee omgaat. Daarmee heb ik alle vragen van mevrouw Gesthuizen beantwoord.

De heer Van der Steur en mevrouw Van Toorenburg vroegen of ik het met het CBP eens ben dat de criteria voor de toepassing van de eenloketfunctie voldoende moeten worden vastgelegd. Dat is een nogal gecompliceerd onderwerp, want het onderwerp is sterk verweven met de territoriale reikwijdte van de verordening. Dat is een zeer technische materie. De voorstellen van de Commissie hebben nogal wat losgemaakt; ik denk dat de Commissie dat wel begrijpt. Ik heb de suggestie van het CBP op dit punt zeer serieus genomen. Dit zal de inzet van Nederland zijn in de verdere besprekingen, zowel op ambtelijk als op politiek niveau.

De heer Van der Steur en mevrouw Van Toorenburg hebben gepleit voor voldoende evenwicht tussen de rechten en de verplichtingen voor bedrijven. Daar bestaan bij hun fracties zorgen over. Bedrijven krijgen in de nieuwe verordening te maken met een toename van het aantal verplichtingen tot zelfonderzoek van hun eigen gegevensverwerking, tot rapportage daarover en tot een intensief contact met de betrokkenen. Dat is op zich niet bezwaarlijk, want dit heeft ook een beetje te maken met de ontwikkeling van het recht, maar de vraag is wel – die vraag is door alle woordvoerders aan de orde gesteld – of die verplichtingen voor alle bedrijven moeten gelden en of het aanknopen bij het aantal arbeiders in het bedrijf een goed uitgangspunt is. Naar ons oordeel is die maatstaf niet de juiste. Ik ben het er dus mee eens dat dit een verkeerd uitgangspunt is. Daarvoor zullen wij aandacht vragen in Brussel. De specifieke risico's die zijn gemoeid met de specifieke gegevensverwerking, behoren naar het oordeel van de regering een aanknopingspunt te zijn voor het opleggen van verplichtingen. Voor een kleine webwinkel is gegevensverwerking meestal de centrale bedrijfsactiviteit. Dan kunnen zulke verplichtingen zeker noodzakelijk zijn, hoewel het bedrijf zeer weinig personeel heeft. Kortom: de Nederlandse regering vindt dat er onvoldoende ruimte is voor maatwerk. Wij willen dus dat er meer maatwerk komt. De door vele Kamerleden genoemde nalevingskosten zijn een grote zorg; het moet niet zo zijn dat die kosten over alle bedrijven worden uitgestort. Ik noemde de heer Van der Steur en mevrouw Van Toorenburg, maar uiteraard hebben ook de heer Recourt en de heer Elissen gevraagd welk criterium er gehanteerd gaat worden en hoe je hiermee verder gaat.

De prejudiciële vragen heb ik inmiddels ook beantwoord. De heer Van der Steur vroeg wat mijn standpunt is over de mate waarin de Commissie voorziet in gedelegeerde regelgeving. Bij eenvoudige zaken, zoals de vaststelling van formulieren en formats, vinden wij dit niet zo bezwaarlijk, maar in de verordening wordt op niet minder dan 26 punten voorzien in de bevoegdheid van de Commissie om aanvullende regels vast te stellen. Wij vinden die delegatie geen goed idee. De vrijheid die degenen die persoonsgegevens verwerken, nu hebben op basis van de richtlijn, is belangrijk voor de ontwikkeling van een informatiesamenleving. Het is niet goed om dat, zoals de Commissie wil, op 26 punten met gedelegeerde wetgeving te overvoeren. Wij moeten die vrijheid dus niet vervangen door meer regels, want de verordening geeft al voldoende regels. Ik zal daarom bij elk voorstel tot delegatie – er staan dus 26 van die punten in – de noodzaak daarvan samen met andere landen kritisch beoordelen. Dat zal op dit punt de inzet van Nederland zijn en dat wordt overigens ook breed gedragen in de Raadswerkgroep.

De heer Van der Steur vroeg of de nogal bureaucratische opzet het functioneren van de European Data Protection Board negatief kan beïnvloeden. Het is onvermijdelijk dat je voor zo'n board een procedure moet regelen. Ik ben het met de heer Van der Steur eens dat het allemaal nogal bureaucratisch oogt, maar als je geen afspraken maakt, bijvoorbeeld over de termijnen waarbinnen beslissingen moeten worden genomen, ondergraaf je de effectiviteit van de handhaving. Dat willen wij ook allemaal niet.

De heer Van der Steur stelde ook een vraag over de meldplicht ten aanzien van security breaches: moet die meldplicht niet in de verordening worden opgenomen? Daarbij gaat het niet om persoonsgegevens en dit past ook niet in de conceptverordening. De minister heeft de Kamer toegezegd dat hij zich beraadt over de mogelijkheden om dit op nationaal niveau te regelen en dat hij deze commissie daar voor de zomer over zal informeren.

Over de financieringsvragen van de heer Recourt heb ik al gesproken. Volgens mij heb ik hiermee alle vragen van de heer Recourt beantwoord.

Mevrouw Peters vroeg of het beschermingsniveau bij de overheid hetzelfde moet zijn als bij de bedrijven. Dat is wel het uitgangspunt van de richtlijn, maar ik wijs erop dat overheden meer gegevens mogen, kunnen en moeten verwerken dan bedrijven. De overheid dient ook meer doeleinden dan een gemiddeld bedrijf. Een gemiddeld bedrijf heeft beperktere doeleinden dan de totale overheid. Ik denk dus dat het wel nodig is om de overheid anders te behandelen. Sancties gelden overigens wel voor de overheid, maar ik herhaal dat een andere behandeling noodzakelijk is. De argumenten daarvoor heb ik genoemd, maar we zullen daar uiteraard nog met elkaar over spreken.

Mevrouw Peters vroeg – die vraag kwam vanaf de zijkant binnenzeilen – of de Belastingdienst gegevens mag verstrekken over huurders. Onder het huidige recht kan dit niet – ik verwijs naar de Algemene wet inzake rijksbelastingen – maar onder de nieuwe verordening en met een degelijke rechtsbasis in het nationaal recht zal dit wel kunnen. Het kan nu ook en het zal straks ook kunnen.

Staatssecretaris Teeven: Het kan onder het huidige recht wel – denk aan de Algemene wet inzake rijksbelastingen – en onder de nieuwe verordening, met een goede rechtsbasis in het nationaal recht, zal dit ook kunnen. Dat is het antwoord op uw vraag.

Mevrouw Peters vroeg wat in de praktijk de gevolgen voor de gegevensuitwisseling zijn als een andere lidstaat niet voldoet aan het niveau van de richtlijn. Iedere lidstaat is verplicht om aan de richtlijn te voldoen. Als andere lidstaten de regels niet toepassen, zal de Commissie dus optreden. Dat zijn de regels van de EU. Nederland kan een mogelijk geval van niet-naleving dus melden bij de Commissie.

De heer Elissen vroeg of de uitvoering van het toestemmingsvereiste niet wordt belemmerd door de kleine lettertjes. Ik herinner mij dit punt overigens uit eerdere overleggen; deze vraag roept enige herkenning bij mij op. Ik ben het met de heer Elissen eens dat dit een belemmering is. Je kunt wel zeggen dat iedereen het goed moet lezen, maar dat is soms een hele klus. De verordening stelt voor de toekomst regels hiervoor vast. Ik zeg dus tegen de heer Elissen dat het dan beter wordt, door Europees recht.

De heer Elissen vroeg of ik het met het CBP eens ben dat de bepaling over het regelen van de moeilijkheden met de toepassing van vreemd recht in de vorige, uitgelekte ontwerpverordening beter is dan de huidige tekst. Mijn antwoord is een beetje formeel: ik reageer niet op concepten. Ik heb dat concept natuurlijk wel gezien, maar de Commissie heeft nu een voorstel neergelegd en daar moeten wij over spreken. Ik denk dat de Commissie het probleem van de werking van vreemd recht ziet en constructieve voorstellen doet om dat probleem aan te pakken. Dat stellen wij op prijs. Ik heb nog wel vragen over de manier waarop dit probleem door de Commissie wordt aangepakt, maar ik wil eerst luisteren naar de Commissie en dan aanbieden om constructief mee te denken. In die volgorde zou ik het willen doen. Ik wijs er overigens op dat enkele zaken wel beter worden geregeld door deze verordening. Ik ben blij dat ook de heer Elissen ziet dat deze Europese verordening op een aantal terreinen dus grote voordelen kan hebben.

Over het wetsvoorstel inzake de bestuurlijke boete heb ik al gesproken. Tot slot ga ik in op een vraag van de heer Elissen. Ook die vraag herken ik uit het verleden. De heer Elissen pleit ervoor om alleen in het kader van rechtshulpverzoeken gegevens over Nederlanders door te geven. Die vraag verbaast mij in die zin dat het bijvoorbeeld in het kader van wat collega Leers wil bereiken op het terrein van het tegengaan van illegale immigratie, soms nodig is om ook buiten rechtshulpverzoeken gegevens over Nederlanders te delen. Het kan heel belangrijk zijn, bijvoorbeeld bij het tegengaan van illegale immigratie, dat niet een rechtshulpverzoek daarvoor de basis is maar een andere soort afspraak tussen de lidstaten. Ik denk dus dat een voorziening zoals die is genoemd in de verordening, hiervoor nodig blijft en dat het voorstel van de Commissie, wat de Nederlandse regering betreft en ook gelet op de doelstellingen in het gedoogakkoord ten aanzien van het tegengaan van illegale immigratie, een goede basis is voor het verdere overleg.

De heer Elissen (PVV): Voorzitter. Ik dank de staatssecretaris voor de beantwoording. In het gedoogakkoord staat een expliciet voorstel voor een meldplicht ten aanzien van datalekken en voor verbetering van de bescherming van persoonsgegevens. Wat ons betreft, is het nog zeer de vraag of deze punten met het huidige voorstel voldoende geregeld zijn. De expliciete datum 20 maart is een soort deadline; dan wordt het behandelvoorbehoud opgeheven. Ik heb dus toch behoefte aan een VAO; dat zeg ik nu alvast.

Bij de staatssecretaris hoor ik ook onvoldoende terug dat de voorstellen die wij hier hebben gedaan, cumulatief zijn. Dat kan aan mij liggen, maar ik houd altijd van heel veel duidelijkheid, zeker op dit soort dossiers. De voorstellen moeten dus bij elkaar worden opgeteld: we willen de JBZ-Raad «gewoon maar laten gaan», we willen een apart AO, we willen aparte brieven over de inzet, zowel van de politieke delegatie als van hoge ambtelijke delegaties, en we willen per kwartaal geïnformeerd worden. Dat lijkt heel veel, maar dit is ook heel belangrijk.

Een ander belangrijk punt betreft artikel 42a. Wat ons betreft, zou de Nederlandse inzet expliciet moeten zijn dat dit punt opnieuw wordt meegenomen in het verdrag. De staatssecretaris maakte een vergelijking met de illegale immigratie. Vanmorgen hebben wij in het AO over de JBZ-Raad expliciet gezegd wat wij daarvan vinden. Het is heel duidelijk dat er op dat punt een aanscherping moet komen. Op die lijn vinden wij elkaar, maar met betrekking tot de overdracht van gegevens aan derde landen willen wij artikel 42a terug laten komen, zodat gegevens op basis van rechtshulpverdragen naar derde landen gaan. Dat is volgens ons de enige manier om de rechtsbescherming goed te regelen.

De heer Recourt (PvdA): Voorzitter. We zullen het nog vaak hierover hebben, maar het risico is levensgroot dat de verordening door de onderhandelingen tussen de lidstaten zo wordt afgezwakt dat zij substantieel onder de Nederlandse maat gaat duiken. Dan geraken we van de regen in de drup. Daar ben ik erg bang voor.

Het tweede punt is de boetebevoegdheid. We staan aan het begin van het traject en we weten dat het vele jaren kan duren. Daar heb ik veel moeite mee. Ik verzoek de staatssecretaris daarom om de wetgeving die nodig is om het CBP een boetebevoegdheid te geven, nu toch ter hand te nemen. Ik overweeg om daarover een motie in te dienen in het reeds aangevraagde VAO.

Mevrouw Peters (GroenLinks): Voorzitter. Ik dank de staatssecretaris voor zijn antwoorden. De heer Elissen gaf zojuist een goede weergave van de afspraken die de Kamer graag maakt over de toekomstige informatievoorziening over dit belangrijke wetgevingspakket. Ik ben verbaasd dat de Belastingdienst ook onder de huidige wet zomaar persoonsgegevens aan private verhuurpartijen mag geven. Als er toch een VAO komt, overweeg ik om daar op dit punt gebruik van te maken.

Net als mevrouw Gesthuizen had ik gevraagd of het CBP voldoende meekrijgt als het meer taken krijgt. Ik pleit niet alleen voor privacy by design, maar ook voor handhaving by design. Het heeft geen zin om wetgevingsplichten en regimes te ontwerpen als wij niet van meet af aan voor ogen hebben dat zij gehandhaafd kunnen worden. Ik vraag de staatssecretaris om hier van meet af aan oog voor te houden, ook al heeft mijn fractie er begrip voor dat de portemonnee nu weinig biedt. Met betrekking tot het maatwerk zijn wij het zeer met de staatssecretaris eens dat de omvang geen goed criterium is. Het maakt ook niet uit of de vestigingsplaats wel of niet in Europa ligt; als je hier handelt in Europese persoonsgegevens, moet een bepaald regime gelden. Of er nou vanuit het buitenland gegevens worden opgevraagd of vanuit lidstaten, de Europese persoonsgegevens moeten beschermd worden. Ik krijg op dat punt graag nog een bevestiging van de staatssecretaris.

De vraag over het collectieve actierecht is nog niet beantwoord.

Staatssecretaris Teeven: Voorzitter. Ik dank de leden voor hun inbreng in de tweede termijn. De vraag van mevrouw Gesthuizen is al beantwoord: volgens de nu in Nederland gehanteerde definitie behoren alle door haar genoemde onderwerpen tot de nalevingskosten.

Ik dank mevrouw Van Toorenburg en de heer Van der Steur voor de steun van hun fracties voor de inzet. Ik ben blij met het vertrouwen dat beide fracties daarin hebben.

De heer Elissen kwam expliciet terug op artikel 42a over de gegevensverstrekking aan derde landen. Dat artikel is sterk tegen de VS gericht. Ik wil op dit punt helemaal niets toezeggen aan de heer Elissen. Dan moet de heer Elissen dat toch maar in een VAO vragen en daar zou deze commissie nog eens goed over moeten nadenken. De heer Elissen noemde twee dingen uit het gedoogakkoord, maar ik noem een aantal andere zaken, zoals het tegengaan van illegale immigratie. Daarvoor kan het zeer belangrijk zijn dat er gegevens worden gedeeld met derde landen, buiten rechtshulpverzoeken om. Met betrekking tot de doelstellingen van het gedoogakkoord kan ik dus niet alleen kijken naar de door de heer Elissen genoemde punten, maar ook naar andere punten, die de PVV-fractie ook buitengewoon belangrijk vindt. Ik wacht het VAO en de motie die hierover zal worden ingediend, dus af.

De opmerking van de heer Elissen over de JBZ-Raad en de acute informatiebehoefte heb ik goed begrepen. Ik heb ook al gezegd dat ik die informatie zal verschaffen, maar ik zeg niet toe dat ik altijd deel wat er op hoog ambtelijk niveau is besproken, want soms gaat het om besloten vergaderingen waar onder embargo informatie met elkaar wordt gedeeld in Europa; dat heb ik al gezegd in mijn antwoord op de vraag van mevrouw Gesthuizen. Ik deel wel wat acuut is en wat op politiek niveau wordt besproken.

Ik begrijp dat de heer Recourt bezorgd is over het feit dat het «terugonderhandelen» van wat de Commissie heeft voorgesteld, er in sommige gevallen toe kan leiden dat er in Nederland op sommige terreinen minder rechtsbescherming komt. Dat zou inderdaad kunnen gebeuren. Ik heb al gezegd wat de inzet van de Nederlandse regering zal zijn: wij zullen hier alert op zijn, maar wij kijken uiteraard ook naar de kosten en de lasten voor het bedrijfsleven, want de rechtsbescherming wordt niet door alle actoren in de Nederlandse samenleving op dezelfde manier gewaardeerd en beleefd.

De heer Recourt vroeg aandacht voor de boetebevoegdheid. Op zich zou je kunnen zeggen dat dit nog heel lang gaat duren en dat wij daarom een start maken met het toekennen van tanden aan het CBP, maar dat doe ik dan wel op basis van de uitgangspunten die ik in de privacybrief heb aangegeven. Ik heb begrepen dat deze commissie het met die uitgangspunten eens is, want naar aanleiding van het toenmalige AO heb ik geen correcties gezien via moties waaruit zou moeten blijken dat de commissie het niet eens was met de ideeën van de regering. Ik zal mij hier dus op beraden, ik zal hier ook binnen het kabinet over spreken en ik zal de Kamer laten weten of wij die start gaan maken.

Op de vraag of het CBP voldoende geld heeft, heb ik volgens mij alle argumenten al gedeeld, ook met mevrouw Peters. Met betrekking tot het collectieve actierecht vraag ik mevrouw Peters of zij het goed vindt als ik daar schriftelijk op terugkom in de eerstvolgende briefing.

De voorzitter: We zijn gekomen aan het eind van dit overleg. Ik vermeld de afspraken die zijn gemaakt tussen de Kamer en de regering.

• – De staatssecretaris zal een schriftelijke reactie geven op het standpunt van het CBP.

• – De staatssecretaris zal de Kamer eens per kwartaal, separaat van de geannoteerde agenda van de JBZ-Raad, informatie verstrekken over de volgende punten:

• – wijzigingen tijdens de onderhandelingen;

• – financiële consequenties van de implementatie voor bedrijven en burgers;

• – financiële consequenties voor het CBP;

• – informatie over standpunten van andere lidstaten, als dat mogelijk is;

• – informatie over het gemeenschappelijk standpunt dat op enig moment bereikt zal worden en een waardering daarvan vóór de bespreking in de Raad;

• – informatie over gewijzigde voorstellen van de Europese Commissie voordat deze in het Coreper worden besproken.

De voorzitter: Ik meld nog even dat de staatssecretaris ook aparte toezeggingen heeft gedaan over het zenden van een brief over de boetebevoegdheid en over het collectieve actierecht.

Het verslag van dit algemeen overleg zal worden aangemeld voor plenaire behandeling. De stemmingen over eventuele moties zullen uiterlijk 20 maart plaatsvinden. Dan eindigt het behandelvoorbehoud.