Hieronder zijn opgenomen het advies van de Afdeling advisering van de Raad van State van het Koninkrijk d.d. 16 november 2022 en het nader rapport d.d. 17 oktober 2023, aangeboden aan de Koning door de Minister van Buitenlandse Zaken, mede namens de Ministers voor Rechtsbescherming, van Binnenlandse Zaken en Koninkrijksrelaties en van Defensie. Het advies van de Afdeling advisering van de Raad van State van het Koninkrijk is cursief afgedrukt.
Blijkens de mededeling van de Directeur van Uw kabinet van 20 juli 2022, no. 2022001614, machtigde Uwe Majesteit de Afdeling advisering van de Raad van State van het Koninkrijk haar advies inzake bovenvermeld verdrag en protocol rechtstreeks aan mij te doen toekomen. Dit advies, gedateerd 16 november 2022, No. W16.22.0137/II/K, bied ik U hierbij aan.
De tekst van het advies treft u hieronder aan, voorzien van mijn reactie.
Bij Kabinetsmissive van 20 juli 2022, no.2022001614, heeft Uwe Majesteit, op voordracht van de Minister van Buitenlandse Zaken, mede namens de Minister voor Rechtsbescherming, de Minister van Binnenlandse Zaken en Koninkrijksrelaties en de Minister van Defensie, bij de Afdeling advisering van de Raad van State van het Koninkrijk ter overweging aanhangig gemaakt het voorstel van rijkswet houdende goedkeuring van het op 28 januari 1981 te Straatsburg tot stand gekomen Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 1988, 7) en goedkeuring van het op 10 oktober 2018 te Straatsburg tot stand gekomen Protocol tot wijziging van het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 2018, 201), met memorie van toelichting.
Het voorstel strekt tot goedkeuring van het in 2018 tot stand gekomen wijzigingsprotocol inzake het Verdrag van de Raad van Europa tot bescherming van personen met betrekking tot geautomatiseerde verwerking van gegevens. Het protocol brengt de bescherming van persoonsgegevens in het verdrag op hetzelfde niveau als dat van de Algemene Verordening Gegevensbescherming (AVG) van de Europese Unie. Het protocol wijzigt het verdrag integraal, waarna het ook wel wordt aangeduid als «Conventie 108+». Anders dan bij de AVG, valt ook de verwerking van persoonsgegevens in het kader van defensie en van de bescherming van de nationale veiligheid onder de werkingssfeer van het verdrag.
Het protocol wordt goedgekeurd voor het hele Koninkrijk. De toelichting bij het rijkswetsvoorstel legt uit dat Conventie 108+ voor Europees Nederland niet noopt tot wijziging van regelgeving. Voor de Caribische delen van het Koninkrijk zal in een later stadium regelgeving tot stand worden gebracht.
De Afdeling advisering van het Koninkrijk maakt opmerkingen over de bestaande ministeriële regeling voor de verwerking van persoonsgegevens in militaire operaties. Zij wijst erop dat Conventie 108+ aanleiding vormt het aparte verwerkingsregime voor militaire operaties op hoofdlijnen in de wet vast te leggen en op onderdelen te verduidelijken.
Daarnaast geeft de Afdeling, zoals gevraagd door de Minister van Binnenlandse Zaken en Koninkrijksrelaties, een reflectie op de betekenis van Conventie 108+ voor de nationale veiligheid en de inlichtingen- en veiligheidsdiensten. Zij merkt op dat de Wet op de inlichtingen- en veiligheidsdiensten 2017 nauw aansluit op de algemene beginselen van het gegevensbeschermingsrecht. Op enkele punten vindt de Afdeling het aangewezen dat de verhouding tot Conventie 108+ wordt verduidelijkt.
Tot slot wijst de Afdeling erop dat de eisen die Conventie 108+ stelt aan het gegevensbeschermingsrecht significant hoger zijn dan de thans in het Caribische deel van het Koninkrijk geldende wettelijke kaders. Zij adviseert in de toelichting te verduidelijken wat ervoor nodig is om op de eilanden te voorzien in het benodigde niveau van bescherming.
In verband met deze opmerkingen is aanpassing wenselijk van de toelichting, en zo nodig van het wetsvoorstel.
Conventie 108 uit 1981 is het gegevensbeschermingsverdrag van de Raad van Europa, dat ook open staat voor staten die geen lid zijn van de Raad van Europa. Conventie 108 is van kracht voor 55 staten, waaronder alle lidstaten van de EU, Turkije, Marokko, Mexico en Argentinië. Voor wat betreft het Koninkrijk geldt het verdrag voor het Europese en Caribische deel van Nederland.
Het goedkeuringsrijkswetsvoorstel heeft betrekking op het protocol tot wijziging van Conventie 108, dat in 2018 tot stand is gekomen. De wijzigingen die het protocol aanbrengt, zijn zodanig dat er materieel vrijwel een geheel nieuw verdrag ontstaat, ook wel aangeduid als Conventie 108+. De belangrijkste inhoudelijke wijziging is dat met dit protocol de bescherming van persoonsgegevens in de Conventie op hetzelfde niveau wordt gebracht als dat van de Algemene Verordening Gegevensbescherming (AVG)2 en de Richtlijn opsporing en vervolging.3 De Conventie heeft, anders dan de AVG en de Richtlijn, ook betrekking op de verwerking van persoonsgegevens ten behoeve van defensie en de nationale veiligheid. Het protocol trekt daarnaast de materiële werkingssfeer voor alle verdragspartijen gelijk, nu het de mogelijkheid uit de oude Conventie 108 schrapt om zelf sectoren of activiteiten uit te sluiten van toepassing van het verdrag.
Conventie 108+ voorziet wel in een uitzonderingsregime en somt de uitzonderingsmogelijkheden limitatief op. Daarbij gaat het om mogelijke uitzonderingen op de algemene beginselen van gegevensbescherming (art. 5, vierde lid), de verplichting tot de melding van datalekken (art. 7, tweede lid), de informatieverplichting jegens de betrokkene (art. 8) en de individuele rechten van de betrokkene (art. 9).4 Een uitzondering op de rechten en verplichtingen in deze bepalingen moet aan enkele algemene eisen voldoen. Zij moet:
– bij wet zijn voorzien;
– noodzakelijk en proportioneel zijn in een democratische samenleving en
– in het belang zijn van een of meer van de specifiek genoemde doelen.5
Voor defensie en de bescherming van de nationale veiligheid zijn er aanvullende uitzonderingsmogelijkheden. Deze uitzonderingen mogen geen afbreuk doen aan het vereiste van onafhankelijk en effectief toezicht zoals waarin is voorzien in de nationale wetgeving.6
Het rijkswetsvoorstel keurt Conventie 108 goed voor Aruba, Curaçao en Sint Maarten.7 Daarnaast wordt voorgesteld het wijzigingsprotocol goed te keuren voor het gehele Koninkrijk.8
De toelichting meldt dat het wijzigingsprotocol in het Europese deel van Nederland geen verandering met zich mee brengt voor de domeinen die onder de AVG en de richtlijn vallen. Voor het onderwerp defensie geldt dat de verwerking van persoonsgegevens al binnen het toepassingsbereik van de AVG is gebracht, met de mogelijkheid hiervan af te wijken indien noodzakelijk met het oog op de inzet van de krijgsmacht (zie hierna punt 2).9 De werkzaamheden van de AIVD en de MIVD, wier taken uitsluitend op het terrein van de nationale veiligheid liggen, zijn gereguleerd in de Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv 2017). Dit wettelijk kader valt niet onder de AVG, maar nu wel onder Conventie 108+. De toelichting geeft aan dat de Wiv 2017 in lijn is met de in de beperkingssystematiek van de Conventie en geen wijziging behoeft.
Dat is anders voor het Caribische deel van Nederland en voor Aruba, Curaçao en Sint Maarten. De toelichting meldt dat het verdrag en het wijzigingsprotocol pas zullen worden geratificeerd als de benodigde uitvoeringwetgeving gereed is.
In dit advies zal de Afdeling achtereenvolgens ingaan in punt 2 op het onderwerp defensie, in punt 3 op de nationale veiligheid en de inlichtingen- en veiligheidsdiensten, in punt 4 op de Koninkrijkspositie en in punt 5 op de eenieder verbindende bepalingen. In punt 3 wordt tevens antwoord gegeven op de specifieke vraag die de Minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) bij de aanvraag voor het advies aan de Afdeling heeft gesteld. Deze heeft betrekking op de verhouding van de Wiv 2017 tot het uitzonderingsregime van Conventie 108+ en het belang van de nationale veiligheid.
Hoewel de AVG formeel niet van toepassing is op defensie,10 zijn de regels voor gegevensbescherming voor defensie bij de totstandkoming van de Uitvoeringswet AVG (UAVG) gelijkgetrokken met de AVG.11 De UAVG maakt wel een uitzondering hierop mogelijk: de UAVG en de AVG zijn niet van toepassing op de verwerking van persoonsgegevens door de krijgsmacht, indien de Minister van Defensie daartoe «beslist met het oog op de inzet of het ter beschikking stellen van de krijgsmacht.»12 Op grond van de UAVG specificeert de Regeling Gegevensbescherming Militaire Operaties welke bepalingen uit de AVG en de UAVG buiten toepassing blijven. Deze uitzonderingen gelden alleen voor zover dat noodzakelijk is voor de uitvoering van het mandaat en de bescherming van de troepenmacht.13
Conventie 108+ ziet als het gegevensbeschermingsverdrag van de Raad van Europa ook op aangelegenheden van defensie. De toelichting gaat uitsluitend in op de vraag of het stelsel van uitzonderingen en beperkingen voor defensie in lijn is met de beperkingssystematiek van Conventie 108+.14 De Afdeling acht dat begrijpelijk maar merkt op dat in de nadere uitwerking van de noodzakelijke regels ook artikel 10 Grondwet moet worden betrokken. De bescherming van persoonsgegevens op grond van Conventie 108+ en de AVG is immers een uitwerking van het recht op eerbiediging van de persoonlijke levenssfeer zoals neergelegd in artikel 10 van de Grondwet.15
Artikel 10, eerste lid, Grondwet staat bij of krachtens de wet beperkingen van het daarin gewaarborgde recht toe. De wetgever dient daartoe de reikwijdte en structurele elementen van een beperking in de wet zelf vast te leggen.16 Aan deze verplichting wordt geen recht gedaan als de concrete invulling vrijwel geheel wordt overgelaten aan lagere regelgeving.17 Een nadere uitwerking van de beperking kan plaatsvinden bij algemene maatregel van bestuur (amvb) indien een wet in formele zin hiervoor de delegatiegrondslag biedt. Een ministeriële regeling leent zich enkel voor technische voorschriften of voorschriften die met spoed gewijzigd moeten kunnen worden.18
Gelet op artikel 10 Grondwet is de uitzonderingsmogelijkheid voor defensie in de UAVG te onbepaald. De wet specificeert niet welke bepalingen van de UAVG en de AVG buiten toepassing kunnen blijven. Evenmin blijkt uit de wet op welke wijze de verwerking van persoonsgegevens in militaire operaties op hoofdlijnen zal plaatsvinden. De UAVG laat de nadere regeling geheel over aan de genoemde ministeriële regeling.
De Afdeling merkt op dat de goedkeuring van Conventie 108+ aanleiding vormt deze bestaande systematiek meer in overeenstemming te brengen met artikel 10 van de Grondwet. Zij adviseert in elk geval op hoofdlijnen wettelijk te verankeren welke beperkingen zijn toegestaan en wat hiervoor de randvoorwaarden zijn en voorts een delegatiegrondslag in de wet op te nemen waarin bepaalt wordt dat bij of krachtens algemene maatregel van bestuur nadere regels worden gesteld.
Allereerst hecht de regering eraan te benadrukken dat de in artikel 3 UAVG opgenomen uitzonderingsmogelijkheid ziet op de bijzondere situatie van inzet van de krijgsmacht in internationale militaire operaties. Bij dergelijke inzet kan niet worden gevergd dat alle bepalingen van de (U)AVG onverkort worden toegepast. Zoals ook in de memorie van toelichting bij de UAVG is verwoord, laten de omstandigheden waarin de krijgsmacht in die situaties soms moet functioneren, dat niet altijd toe en werd het door de wetgever wenselijk geacht om de Minister van Defensie de bevoegdheid te geven om op de (U)AVG een uitzondering te maken als er sprake is van daadwerkelijke operationele inzet van de krijgsmacht19. De AVG laat voor deze uitzondering de ruimte. De mogelijkheid voor de Minister van Defensie om in het geval van militaire operaties af te wijken van de reguliere wettelijke privacybepalingen bestaat in de kern al sinds de inwerkingtreding van de Wet bescherming persoonsgegevens uit 2002, onder hetzelfde Grondwetsregime.
Voor een goed begrip zij voorts opgemerkt dat het uitzonderingsregime in artikel 3 UAVG en de nadere uitwerking in de Regeling gegevensbescherming militaire operaties alleen ziet op de verwerking van persoonsgegevens van niet-Nederlanders en alleen van toepassing is tijdens militaire inzet in het buitenland. Hierbij dient bijvoorbeeld te worden gedacht aan de verwerking van persoonsgegevens in het kader van inlichtingenvergaring omtrent de vijandelijke partij. Begrijpelijkerwijs zal in een militaire operatie een lid van de vijandelijke partij niet overeenkomstig de AVG in kennis wordt gesteld wanneer gegevens over hem worden verwerkt.
Recentelijk is in het wetsvoorstel Verzamelwet gegevensbescherming voorgesteld artikel 3 UAVG in die zin aan te scherpen dat daarin geëxpliciteerd wordt dat aan dit artikel door middel van een (voor militaire missies geldende) ministeriële regeling of besluit uitvoering wordt gegeven, waarbij van de bepalingen van de (U)AVG wordt afweken. Dit onderdeel van het wetsvoorstel gaf de Afdeling in haar advies van 16 maart 2022 geen aanleiding tot commentaar.20 Ook de Autoriteit Persoonsgegevens onderschreef in haar advies met betrekking tot dat wetsvoorstel de wenselijkheid van deze aanvulling.21 Zoals ook in de memorie van toelichting bij het wetsvoorstel Verzamelwet gegevensbescherming is aangegeven, zal de ingevolge artikel 50 UAVG uitgevoerde evaluatie van de UAVG naar verwachting aanleiding kunnen geven tot een nieuw wijzigingsvoorstel van de UAVG.22 Niettegenstaande het voorgaande zal bij gelegenheid van dat wetsvoorstel het advies, onder punt 2a, van de Afdeling nader worden bezien.
De Regeling Gegevensverwerking Militaire Operaties somt op in welke gevallen de AVG en de UAVG niet van toepassing zijn op de verwerking van persoonsgegevens voor zover dat noodzakelijk is voor, kortweg, het belang van de militaire operatie. Daarin wordt uitzondering gemaakt op de voorschriften voor de verwerking van bijzondere persoonsgegevens en strafrechtelijke gegevens (artikelen 9 en 10 AVG en 22–30 UAVG), de rechten van betrokkene (hoofdstuk III AVG), de meldplichten, de privacy impact assessment en de voorafgaande raadpleging toezichthouder (artikelen 33–36 AVG).23
De toelichting stelt dat dit uitzonderingsregime in lijn is met de beperkingensystematiek van Conventie 108+.24 De Afdeling onderschrijft dit standpunt in algemene zin maar meent dat op een enkel onderdeel de inhoud van de ministeriële regeling in het licht van Conventie 108+ vragen oproept.
Zo voorziet Conventie 108+ niet in een uitzondering op de verplichting na te gaan wat de privacy impact is van de verwerking van persoonsgegevens,25 terwijl de ministeriële regeling die ruimte wel biedt in de vorm van een uitzondering om een formele Privacy Impact Assesment uit te voeren.26 Daarbij is de vraag hoe ver de Conventie 108+ op dit punt precies reikt en hoe de ministeriële regeling zich hiertoe verhoudt. De toelichting gaat hier niet op in.
Daarnaast is niet duidelijk in hoeverre het aparte verwerkingsregime voor bijzondere persoonsgegevens dat de ministeriële regeling voorschrijft, in overeenstemming is met Conventie 108+. Conventie 108+ stelt hiervoor als voorwaarde dat er «appropriate safeguards» zijn, die het verdrag aanvullen.27 De ministeriële regeling verklaart de bepalingen van de AVG en de UAVG over bijzondere persoonsgegevens buiten toepassing. Het voorziet vervolgens echter alleen voor de verwerking van biometrische en genetische persoonsgegevens in een apart verwerkingsregime.28 Voor de verwerking van andere bijzondere persoonsgegevens, zoals die betreffende gezondheid, ras of religie, worden geen aparte regels gesteld. Met het ontbreken van een apart regime voor deze gegevens zou kunnen worden aangenomen dat verwerking hiervan in lijn met de hoofdregel van de AVG en de UAVG, niet is toegestaan. De regeling is op dit punt echter niet duidelijk. Ook de toelichting bij de goedkeuringswet verschaft hierin geen helderheid.
De Afdeling adviseert in de toelichting te motiveren dat de bestaande uitzonderingsmogelijkheden voor defensie overeenstemmen met Conventie 108+ en zo nodig de betreffende regelgeving op dit punt aan te passen.
Hoewel er ruimte zit tussen de verplichting uit Conventie C108+ om na te gaan wat de privacy impact is van gegevensverwerkingen en een formele gegevensbeschermingseffectbeoordeling op basis van de AVG, merkt de Afdeling terecht op dat Conventie 108+ niet voorziet in een uitzondering op de verplichting na te gaan wat de privacy impact is van de verwerking van persoonsgegevens. Om die reden kiest de regering ervoor om deze uitzondering in de ministeriële regeling te laten vervallen. De bezwaren tegen overeenkomstige toepassing van artikel 35 AVG voor buitenlandse operaties die ten grondslag lagen aan de uitzondering worden ondervangen door een algemene gegevensbeschermingseffectbeoordeling voor operaties uit te voeren. Hiermee wordt gevolg gegeven aan het advies van de Afdeling op dit punt.
Voorts wijst de Afdeling er in haar advies terecht op dat in de ministeriële regeling geen aparte regels gesteld worden voor andere bijzondere persoonsgegevens dan biometrische en genetische persoonsgegevens. Ingevolge het advies van de Afdeling zal de ministeriële regeling op dit punt worden aangevuld.
Naar aanleiding van het advies van de Afdeling is in paragraaf 3 van de toelichting verduidelijkt welke uitzonderingen de regeling bevat, inclusief de aanpassingen die zoals hierboven toegelicht, met betrekking tot de uitzonderingen inzake de bijzondere persoonsgegevens en de privacy impact assessment, zullen worden doorgevoerd. In de reeds opgenomen tekst zijn daarnaast enkele redactionele toevoegingen gedaan.
Bij de aanvraag voor het advies over de goedkeuringswet heeft de Minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) aan de Afdeling gevraagd aandacht te schenken aan het uitzonderingsregime van Conventie 108+ en het belang van de nationale veiligheid. De Minister geeft aan dat met de Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv 2017) is voldaan in het vereiste dat een uitzondering bij wet moet zijn voorzien. Het is volgens de Minister niet nodig een expliciete verwijzing naar de uitzonderingsclausule uit het verdrag op te nemen. De Wiv 2017 behoeft daarmee naar het oordeel van de Minister geen aanpassing. De Minister vraagt of de Afdeling zich in deze benadering kan vinden.
Naar aanleiding van deze vraag reflecteert de Afdeling in het navolgende op (b) de Conventie 108+ in relatie tot de Wiv 2017, (c) het begrip nationale veiligheid, en (d) de betekenis van het begrip effectief toezicht.
De Wiv 2017 voorziet in een uitgewerkt gegevensverwerkingsregime voor de inlichtingen- en veiligheidsdiensten. Het regime is geënt op de jurisprudentie van het EHRM en sluit nauw aan op de algemene beginselen van het gegevensbeschermingsrecht. Een expliciete verwijzing in de wet naar Conventie 108+ is niet noodzakelijk. Wel dient duidelijk te zijn op welke wijze de Wiv 2017 overeenstemt met dan wel afwijkt van Conventie 108+. In de toelichting bij het voorstel voor deze goedkeuringswet wordt hierop ingegaan.29 Met het oog daarop merkt de Afdeling het volgende op.
i. Conventie 108+ staat beperkingen toe op de rechten die het verdrag aan betrokkenen toekent.30 De toelichting stelt enerzijds dat vanwege geheimhouding onder de Wiv 2017 de rechten van betrokkenen mogen worden beperkt en anderzijds dat de Wiv 2017 voorziet in rechten voor betrokkenen.31 De toelichting specificeert daarbij niet van welke uitzonderingsmogelijkheid uit de Conventie 108+ nu wel en geen gebruik wordt gemaakt en wat hiervan de motivering is.
De Afdeling adviseert de toelichting op dit punt aan te vullen.
Het advies van de Afdeling is op dit punt overgenomen. Paragraaf 4 van de memorie van toelichting is naar aanleiding hiervan uitgebreid met twee nieuwe alinea’s. In deze twee alinea’s wordt verduidelijkt welke weigeringsgronden en beperkingen, die voortvloeien uit de Wiv 2017, enkele rechten uit artikel 9 (nieuw) van Conventie 108+ in het belang van de nationale veiligheid kunnen beperken. Deze beperkingen en weigeringsgronden zien toe op het recht op inzage (artikel 9, eerste lid, sub b (nieuw), het recht op kennisname van de redenen die ten grondslag liggen aan een verwerking (artikel 9, eerste lid, sub c (nieuw)) en op het recht op correctie en verwijdering van gegevens (artikel 9, eerste lid, sub e (nieuw)).
ii. Daarnaast kent Conventie 108+ aan toezichthouders de taak toe te worden geconsulteerd over nieuwe regelgeving.32 Hierop is geen uitzondering toegestaan. In de Wiv 2017 is dit nu nog niet opgenomen als wettelijke taak voor de CTIVD en de andere toezichthouder, de Toetsingscommissie Inzet Bevoegdheden (TIB). De adviestaak van de AP is wel wettelijk vastgelegd.33 De toelichting gaat niet in op de vraag waarom deze bevoegdheid niet ook voor de genoemde toezichthouders in de wet wordt geregeld.
De Afdeling adviseert in de toelichting op het voorgaande in te gaan en de Wiv 2017 zo nodig aan te passen.
Gelet op het advies van de Afdeling is paragraaf 4 van de memorie van toelichting uitgebreid met een alinea, met daarin een nadere beschouwing over de verplichting uit artikel 15 (nieuw), derde lid, Conventie 108+ om toezichthouders te consulteren over nieuwe wet- en regelgeving die ziet op de verwerking van persoonsgegevens. In deze nieuwe alinea is uiteengezet dat, anders dan is geregeld in artikel 57 AVG, eerste lid, onder c waarin de adviserende rol van de AP als taak is opgenomen, artikel 15, (nieuw) van Conventie 108+ een oproep bevat aan de verdragspartijen om de toezichthouders te consulteren. Ingevolge het Draaiboek voor de Regelgeving (nr. 18 e.v.) en de Aanwijzingen voor de Regelgeving (nr. 4.44) worden de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) en de Toetsingscommissie Inzet Bevoegdheden (TIB) conform vaststaande beleid en praktijk namelijk altijd geconsulteerd bij nieuwe regelgeving, waarmee aan deze verplichting uit Conventie C108+ wordt voldaan. Gelet hierop acht de regering het niet nodig om de Wiv 2017 op dit punt aan te passen.
Verder is van de gelegenheid gebruik gemaakt om paragraaf 4 te voorzien van enkele redactionele aanpassingen, en is de datum van het voorstel voor een Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma gecorrigeerd. Bij dit voorstel staat tevens nu opgenomen dat het aan de Tweede Kamer is aangeboden.
In EU verband wordt de bescherming van de nationale veiligheid gezien als een essentiële staatsfunctie die exclusief valt onder de verantwoordelijkheid van de lidstaten.34 Om die reden bepaalt de UAVG dan ook dat de AVG niet van toepassing is op de verwerking van persoonsgegevens door de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) op basis van de Wiv 2017.35 Conventie 108+ ziet wel op gegevens die worden verwerkt in het kader van taken ten behoeve van de bescherming van de nationale veiligheid. De Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) en de Toetsingscommissie Inzet Bevoegdheden (TIB) hebben in hun gezamenlijke memo over Conventie 108+ bepleit dat het verdrag aanleiding vormt ook andere organisaties die zich met nationale veiligheid bezighouden onder één toezichthouder te brengen.36
De toelichting stelt dat de AIVD en de MIVD als enige organisaties heimelijk persoonsgericht onderzoek uitvoeren dat zich uitsluitend in het domein van de nationale veiligheid bevindt. Dat brengt specifieke beperkingen met zich mee die uitzonderingen op het gegevensbeschermingsrecht rechtvaardigen. Andere organisaties, zoals bijvoorbeeld de Nationaal Coördinator Terrorisme en Veiligheid (NCTV), zijn weliswaar betrokken bij de bescherming van de nationale veiligheid maar hebben niet een vergelijkbare onderzoekstaak en vervullen vooral andere werkzaamheden. In die gevallen volstaat het algemene gegevensbeschermingsrecht en het toezicht van de AP, aldus de toelichting.37
Deze zelfde redenering is gehanteerd in de toelichting op het wetsvoorstel dat beoogt een wettelijke basis te geven aan de verwerking van persoonsgegevens door de NCTV.38 De Afdeling onderschreef deze lezing in haar advies over dat wetsvoorstel.39 Conventie 108+ sluit aan bij de door het Europees Hof voor de Rechten van de Mens (EHRM) ontwikkelde definitie van nationale veiligheid.40 Bovendien biedt het de lidstaat de ruimte om de bepalingen van het verdrag in overeenstemming met het eigen nationale constitutionele recht te implementeren. Op dit punt ziet de Afdeling, net als de regering, geen aanleiding bestaande regelgeving aan te passen.
Conventie 108+ bepaalt dat toezichthouders beschikken over «powers of investigation and intervention» alsmede over «powers to [...] impose administrative sanctions».41 Hierop kunnen uitzonderingen worden gemaakt, maar daarbij moet het vereiste van onafhankelijk en effectief toezicht geborgd zijn.42 Op basis van de Wiv 2017 beschikt de TIB over bindende bevoegdheden, maar de CTIVD niet.
De CTIVD en de TIB hebben hun gezamenlijke memo over Conventie 108+ aangegeven dat effectief toezicht bindend toezicht impliceert. Het ontbreken van deze bevoegdheden zou niet te rijmen zijn met de geldende internationaalrechtelijke normen.43 In de toelichting wordt dit genuanceerd, met verwijzing naar het rapport van de Evaluatiecommissie Wiv 2017. De Evaluatiecommissie concludeert dat, hoewel het toezicht van de CTIVD niet bindend is, het wel bijzonder effectief is.44 Ook worden uitspraken van het EHRM aangehaald waar uit blijkt dat het Hof niet-bindend toezicht onder omstandigheden als onafhankelijk en effectief aanmerkt.45
De Afdeling onderschrijft het, ook in recente advisering verwoord, uitgangspunt dat, ondanks het feit dat het EHRM een voorkeur heeft voor bindend toezicht, het er blijkens diens rechtspraak vooral om gaat dat het stelsel als geheel waarborgen bevat die in hun onderlinge samenhang adequate en effectieve garanties bieden tegen willekeur en het risico van misbruik.46 Op dit punt ziet de Afdeling dan ook geen noodzaak de bestaande regelgeving naar aanleiding van Conventie 108+ aan te passen.
Paragraaf 5 van de memorie van toelichting is uitgebreid met een verwijzing naar paragraaf 3.d Effectief toezicht van het advies van de Afdeling. Daarnaast is paragraaf 5 van de toelichting voorzien van enkele redactionele aanpassingen.
De AVG is niet van toepassing op het Caribische deel van het Koninkrijk. Conventie 108 geldt wel voor het Caribische deel van Nederland. De Wet persoonsgegevens BES is hierop gebaseerd. In de Caribische landen geldt Conventie 108 niet. De landen hebben voor de gegevensbescherming ieder hun eigen landsverordeningen.
De consultatieversie van het voorstel keurde het wijzigingsprotocol enkel goed voor het Europese deel van Nederland. Als reden hiervoor werd aangedragen dat Nederland had toegezegd het protocol binnen drie jaar na ondertekening te ratificeren. De Minister achtte dit niet haalbaar voor het Caribische deel van Nederland omdat hiervoor wijziging van de Wet persoonsgegevens BES nodig was en uitbreiding van de taken van de Commissie van toezicht bescherming persoonsgegevens-BES. Dit zou meer tijd kosten, ook omdat los hiervan eerst een evaluatieonderzoek van de Wet persoonsgegevens BES zou moeten plaatsvinden. Voor de Caribische landen gold bovendien dat uitvoeringswetgeving nog gemaakt moest worden. De Minister gaf aan dat te zijner tijd voor één of meer delen van het Koninkrijk een separate parlementaire goedkeuringsprocedure zou worden opgestart.
De Autoriteit Persoonsgegevens benadrukte in reactie op de consultatieversie van het voorstel het belang van een gelijkwaardige bescherming van persoonsgegevens binnen het Koninkrijk. Omdat binnen het Koninkrijk veel persoonsgegevens worden uitgewisseld, dient de bescherming op hetzelfde niveau te zijn. Daarbij is Conventie 108+ een uitwerking van het door artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM) beschermde recht op eerbiediging van de persoonlijke levenssfeer. De AP adviseerde daarom het wijzigingsprotocol voor het hele Koninkrijk goed te keuren en te voorzien in een nadere vermelding van de wijze waarop een tijdige totstandkoming van uitvoeringswetgeving kan worden bewerkstelligd.47
Naar aanleiding van dit advies is het voorstel aangepast naar een voorstel van Rijkswet waarbij Conventie 108 ook wordt goedgekeurd voor Aruba, Curaçao en Sint Maarten.48 Daarnaast wordt voorgesteld het wijzigingsprotocol goed te keuren voor het gehele Koninkrijk.49 De toelichting meldt dat voor het Caribische deel van Nederland de geldende regelgeving wordt aangepast en dat voor Aruba, Curaçao en Sint Maarten consensusrijkswetgeving tot stand zal worden gebracht. Er is een aantal domeinen dat niet mee zal worden genomen in de consensusrijkswet, te weten het domein van de inlichtingen- en veiligheidsdiensten, van de verkiezingen en van de basisadministratie persoonsgegevens. Deze domeinen zullen separaat door de landen zelf worden beoordeeld en nader geregeld.50 Uit de toelichting blijkt niet waarom voor deze domeinen wordt gekozen voor een afwijkende wettelijke voorziening. Het verdrag en het wijzigingsprotocol zullen voor het Caribische deel van het Koninkrijk worden geratificeerd als de benodigde uitvoeringwetgeving gereed is.
De Afdeling onderschrijft het belang van een goede bescherming van persoonsgegevens in het Caribische deel van het Koninkrijk. Zij constateert echter dat het invoeren van een adequaat niveau van bescherming op de eilanden in de praktijk niet eenvoudig is gebleken.51 De eisen die Conventie 108+ hieraan stelt zijn significant hoger dan de thans geldende wettelijke kaders. De toelichting geeft geen inzicht in wat er voor nodig is om de benodigde regelgeving tot stand te brengen en wat vervolgens noodzakelijk is om de uitvoering hiervan voor te bereiden en effectief te realiseren.
De Afdeling adviseert in het licht van het voorgaande in de toelichting nader in te gaan op het tijdpad en de aanpak voor zowel de totstandkoming van de noodzakelijke wetgeving als de effectieve uitvoering daarvan. In het bijzonder het laatste verdient gelet op de effectiviteit van wetgeving concrete aandacht. Daarnaast adviseert zij in de toelichting te motiveren waarom de genoemde domeinen niet zullen worden meegenomen in de voorgenomen consensusrijkswet en daarbij in te gaan op de vraag op welke wijze voor deze terreinen wordt gegarandeerd dat aan de verplichtingen die ook voor deze domeinen voortvloeien uit Conventie 108+, zal worden voldaan.
Aan het advies van de Afdeling is gevolg gegeven door de toelichting, onder paragraaf 3 Uitvoering van het wijzigingsprotocol, aan te vullen.
Aan paragraaf 3 is allereerst een passage toegevoegd waarin nader wordt ingegaan op het tijdpad en de aanpak voor zowel de totstandkoming als de uitvoering van de consensusrijkswet, waarmee een geharmoniseerd en verhoogd beschermingsniveau voor de verwerking van persoonsgegevens, waaronder begrepen de persoonsgegevens die in het politie- en justitiedomein worden verwerkt, binnen de Caribische delen van het Koninkrijk zal worden gerealiseerd. Zoals daaruit blijkt, is de aanpak er zo mogelijk op gericht de betrokken bestuurders, overheidsorganisaties en stakeholders in een vroeg stadium te betrekken bij de totstandkoming en uitvoering en inzicht te verschaffen in de financiële en andere consequenties van de consensusrijkswet zodat zij tijdig voorbereidingen kunnen treffen.
Ingevolge het advies van de Afdeling om te motiveren waarom de domeinen van de inlichtingen- en veiligheidsdiensten, van de verkiezingen en van de basisadministratie persoonsgegevens niet meegenomen worden in de consensusrijkswet, is voorts een passage toegevoegd waarin toegelicht wordt dat de wettelijke regelingen die op deze domeinen zien, naar hun aard niet passen in een gegevensbeschermingsregeling zoals de consensusrijkswet en dat het opnemen van deze domeinen in de consensusrijkswet de omvang en complexiteit van deze wet dusdanig zou doen toenemen dat het de totstandkoming en uitvoering daarvan in de weg zou kunnen zitten.
Op advies van de Afdeling is daarnaast een passage toegevoegd waarin ingegaan wordt op de vraag op welke wijze voor voornoemde domeinen wordt gegarandeerd dat aan de verplichtingen die uit Conventie 108+ voortvloeien, zal worden voldaan. Zoals in de toelichting is vermeld, is het streven om de wettelijke regelingen met betrekking tot deze domeinen stapsgewijs in lijn te brengen met de vereisten van het gemoderniseerde verdrag. Voor wat betreft het Caribisch deel van het Koninkrijk zal, voor de domeinen van de verkiezingen en van de basisadministratie persoonsgegevens, in nauwe samenwerking tussen de Caribische landen en Caribisch Nederland worden beoordeeld welke uitvoeringswetgeving wenselijk en benodigd is, waarbij de ambitie aanwezig is om gedoseerd en zorgvuldig naar het niveau van bescherming toe te werken dat beantwoordt aan de standaarden van Conventie 108+. Dit past wat betreft Caribisch Nederland ook binnen het principe van «comply or explain».
De Afdeling constateert in dit verband terecht dat het invoeren van een adequaat niveau van bescherming op de eilanden in de praktijk niet eenvoudig is gebleken. De uitvoerbaarheid en werkbaarheid van de huidige gegevensbeschermingsregelingen betekenen voor hen nu reeds een uitdaging. Gelet op de omvang van de door Conventie 108+ bestreken terreinen en de reeds geleverde en nog te leveren inspanningen in verband met de totstandkoming en invoering van de consensusrijkswet, acht de regering, voor de genoemde domeinen, een zekere mate van temporisering passend.
Als een verdrag ter goedkeuring wordt voorgelegd aan de Staten-Generaal, moet worden aangegeven of het verdrag naar het oordeel van de regering bepalingen bevat die naar hun inhoud een ieder kunnen verbinden en, indien dit het geval is, welke bepalingen het betreft.52 Het gaat om een voorlopig oordeel; in het concrete geval is het oordeel aan de rechter. Een bepaling is «een ieder verbindend» (heeft rechtstreekse werking) als zij onvoorwaardelijk en voldoende nauwkeurig is om in de nationale rechtsorde zonder meer als objectief recht te kunnen worden toegepast.53
De toelichting bij de goedkeuringswet noemt een drietal een ieder verbindende bepalingen in Conventie 108+: artikel 5 (legitimacy of data processing and quality of data), artikel 9 (rights of the data subject) en artikel 18 (assistance tot data subjects). Uit deze bepalingen kunnen rechten worden afgeleid waar een ieder een beroep op kan doen. De Afdeling merkt op dat dit mogelijk ook geldt voor een tweetal andere bepalingen: artikel 6 (special categories of data) en artikel 8 (transparancy of processing). Zij adviseert te bezien of deze bepalingen niet ook als rechtstreeks werkend in de toelichting dienen te worden aangemerkt.
Het advies van de Afdeling op dit punt is overgenomen. In paragraaf 6 van de memorie van toelichting worden nu ook artikel 8 van het wijzigingsprotocol (gewijzigd artikel 6) over de bescherming van bijzondere categorieën van persoonsgegevens bij gegevensverwerking en artikel 10 van het wijzigingsprotocol (nieuw artikel 8) over de transparantie van gegevensverwerking als een ieder verbindende bepalingen aangemerkt. Verder is paragraaf 6 uitgebreid en voorzien van enkele redactionele aanpassingen.
De Afdeling advisering van de Raad van State van het Koninkrijk heeft opmerkingen bij het voorstel van rijkswet en adviseert daarmee rekening te houden voordat het voorstel van rijkswet bij de Tweede Kamer der Staten-Generaal wordt ingediend en aan de Staten van Aruba, die van Curaçao en aan die van Sint Maarten wordt overgelegd.
De vice-president van de Raad van State van het Koninkrijk,
Th.C. de Graaf
Ik moge U, mede namens de Minister voor Rechtsbescherming, de Minister van Binnenlandse Zaken en Koninkrijksrelaties en de Minister van Defensie verzoeken het hierbij gevoegde gewijzigde voorstel van rijkswet en de gewijzigde memorie van toelichting aan de Tweede Kamer der Staten-Generaal, de Staten van Aruba, de Staten van Curaçao en de Staten van Sint Maarten te zenden.
De Minister van Buitenlandse Zaken, H.G.J. Bruins Slot