Nr. 42 VERSLAG VAN EEN ALGEMEEN OVERLEG

De vaste commissie voor Veiligheid en Justitie en de vaste commissie voor Europese Zaken hebben op 3 juli 2012 overleg gevoerd met staatssecretaris Teeven van Veiligheid en Justitie over:

• – de brief van de minister van Veiligheid en Justitie d.d. 27 april 2012 met de reactie op het commentaar van het College bescherming persoonsgegevens en de commissie-Meijers op de herziening van de EU-wetgeving betreffende de bescherming van persoonsgegevens (32 761, nr. 29);

• – de brief van de staatssecretaris van Veiligheid en Justitie d.d. 5 maart 2012 betreffende de herziening van de regels over de bescherming van persoonsgegevens binnen de Europese Unie (32 761, nr. 17);

• – de brief van de staatssecretaris van Buitenlandse Zaken d.d. 2 maart 2012 met het fiche: Richtlijn gegevensbescherming opsporing en vervolging (22 112, nr. 1371);

• – de brief van de staatssecretaris van Buitenlandse Zaken d.d. 2 maart 2012 met de fiche: Verordening gegevensbescherming (22 112, nr. 1372);

• – de brief van staatssecretaris van Veiligheid en Justitie d.d. 14 juni 2012 betreffende het verslag van een schriftelijk overleg inzake herziening van de regels over de bescherming van persoonsgegevens binnen de Europese Unie (32 761, nr. 31);

• – de brief van de staatssecretaris van Veiligheid en Justitie d.d. 29 juni 2012 met toezeggingen op het gebied van bescherming persoonsgegevens (32 761, nr. 34);

• – de brief van de vicepresident van de Raad van State d.d. 28 juni 2012 betreffende voorlichting van de Raad van State inzake verwerking en bescherming persoonsgegevens (32 761, nr. 32).

Van dit overleg brengt de commissie bijgaand geredigeerd woordelijk verslag uit.

Voorzitter: Van Toorenburg

Griffier: Van Doorn

De voorzitter: Welkom in deze kleine, knusse zaal. Aan de orde is het algemeen overleg van de vaste commissie voor Veiligheid en Justitie over de herziening van de EU-wetgeving inzake de bescherming van persoonsgegevens. Ik stel een spreektijd in eerste termijn voor van vijf minuten per woordvoerder. Ik leg geen beperkingen voor interrupties op. Mogelijk moeten we daar op enig moment toe overgaan, maar laten we zien hoe het loopt, deze laatste week voor het reces.

Als eerste geef ik het woord aan de heer Recourt van de Partij van de Arbeid.

De heer Recourt (PvdA): Voorzitter. Privacybescherming op Europees niveau, dan hebben we het over de verordening en de richtlijn die allebei in concept voorliggen. Over beide heb ik grote zorgen.

Als aftrap wil ik een vraag stellen: wat weten bedrijven als Google en Facebook eigenlijk niet van ons? Zij weten mogelijk welke boodschappen wij doen en welke interesses, relaties en vrienden we hebben. Dit gebeurt allemaal via gratis diensten, maar als diensten gratis zijn, is de burger zelf de handelswaar. Onze persoonsgegevens zijn big business. Dat is prima voor zover de burger daarmee zelf instemt. Reclame afgestemd op de persoon heeft voordelen, maar je moet je er wel bewust van zijn en je moet er bewust toestemming voor geven. Onze persoonsgegevens zijn onze eigendommen. Verder is van belang dat je er, indien gewenst, zicht hebt op wanneer die persoonsgegevens worden doorverkocht. Ook moeten deze gegevens verwijderd kunnen worden. Al deze zaken, die horen bij het eigendom van je persoonsgegevens, moeten we goed regelen.

Tot onze grote vreugde is dit geregeld in de voorliggende conceptverordening. Ik begon echter al met mijn zorg uit te spreken. Ik heb de zorg dat het verwaterd. De Kamer heeft dat al eerder geconstateerd; collega Elissen heeft er al moties over ingediend die ook zijn aangenomen. Daarin wordt uitgesproken dat Nederland de beveiliging probeert te behouden zoals die nu in de verordening is opgenomen. De geluiden die mij bereiken uit Europa zijn echter dat we wegzakken in die beveiliging. Je ziet dit ook aan de voorstellen die komen ter aanpassing van de verordening. Het gaat daarbij om afzwakkingen op het punt van de doelbinding en afzwakkingen betreffende het aantal uitzonderingen dat wordt toegestaan. Uiteindelijk kunnen we afzakken naar een niveau van privacybescherming dat beneden het niveau ligt waarop we nu zitten. Het is soms een voordeel dat we een verordening niet nationaal kunnen repareren, maar als we te laag zakken in de beveiliging is het een groot nadeel. Hoe ziet de staatssecretaris dit? Hoe groot is de zorg volgens hem? Is hij in ieder geval niet gevoelig voor de aanzienlijke lobby uit het bedrijfsleven? Blijft hij vechten voor een goed beschermingsniveau in de richtlijn?

Het tweede grote punt is de privacyrichtlijn die we gaan afspreken voor persoonsgegevens die worden uitgewisseld door justitiële autoriteiten. Het is logisch dat je daarvoor aparte regels afspreekt. We willen dat de verschillende politiemachten in de verschillende landen relatief snel en gemakkelijk hun gegevens kunnen uitwisselen om zo de criminaliteit in Europa aan te pakken. Ook op dit punt echter moet je afspraken maken op Europees gebied, anders is het gevaar levensgroot aanwezig dat we het in Nederland nationaal goed hebben geregeld maar dat het internationaal zo lek is als een mandje. Als de Nederlandse politie en justitie het volgens de eigen regelgeving dan niet kunnen, kun je naar een land gaan waar de regelgeving op een veel lager niveau staat. Op dit punt bereiken mij signalen dat een meerderheid van de landen de richtlijn wil schrappen. Herkent de staatssecretaris deze berichten? Als dat zo is, kan hij dan toelichten hoe het precies zit? Welke landen betreft het? Wat is de positie van Nederland daarin?

Mijn derde punt betreft Matthijs Koot. Hij verzamelde gegevens van 2,7 miljoen Nederlanders uit de Gemeenschappelijke Basisadministratie (GBA). 67% van deze groep bleek te identificeren op basis van alleen de vier cijfers van de postcode en de geboortedatum. Ik heb daar kortgeleden vragen over gesteld en realiseer mij dat er maar kort tijd was om die te beantwoorden. Ik vind die antwoorden echter onvoldoende. De staatssecretaris antwoordde dat burgers zelf bewuster moeten zijn en dat we daar ook bedrijven op kunnen aanspreken. Het gaat mij echter om de rol van de overheid. Hoe is het in vredesnaam mogelijk dat een particulier persoon 2,6 miljoen gegevens opvraagt, die veel waarde vertegenwoordigen?

Hierop aansluitend: bij de identificeerbaarheid van een natuurlijk persoon moet in de verordening zoals die in Europa ligt, worden opgenomen dat er ook sprake is van identificeerbaarheid van een natuurlijk persoon als op grond van gegevens een individu kan worden onderscheiden van anderen, het «singled out»-principe. Moeten we gegevens die het mogelijk maken dat een persoon van anderen is te onderscheiden niet definiëren als persoonsgegevens die vallen onder de richtlijn?

Ik ga in op enkele concrete punten. Hoe wordt het «one stop shop»-beginsel, artikel 51 van de verordening, geregeld? Immers, de meeste grote bedrijven, Facebook, Google, Microsoft, zijn in Ierland gevestigd. Is dan de gegevensbeschermer in Ierland ook degene die alle grote zaken gaat doen, en hebben we het dus elders in Europa rustig, of wordt dat verdeeld?

Een tweede praktisch punt betreft de financiering van het College bescherming persoonsgegevens (CBP). De algemene verordening gegevensbescherming bevat een bepaling die lidstaten verplicht om zorg te dragen voor een adequate financiering. We hebben een eindeloze discussie gehad over de financiering hier in Nederland. Ik wil de staatssecretaris toch vragen of het risico bestaat dat Europa op basis van dit artikel zegt dat het Nederlandse CBP niet adequaat wordt gefinancierd. Worden dan mensen die nadelige effecten hebben ondervonden van privacyschendingen gecompenseerd?

Ik zie aan de voorzitter dat ik helaas moet stoppen. Ik zal bekijken of ik de rest van mijn punten elders in dit debat kan inbrengen.

De heer Van der Steur (VVD): Voorzitter. De Kamer volgt de ontwikkelingen en de onderhandelingen inzake de verordening en de richtlijn, omdat wij vinden dat dit een heel belangrijk onderwerp is voor Nederland maar ook voor Europa. De VVD-fractie ondersteunt de modernisering van de verordening en de richtlijn en is van mening dat het uitgangspunt zoals neergelegd door de Europese Commissie een goed idee is. Het advies van de Raad van State laat zien dat deze de zorgen van de VVD-fractie over de verordening voor een groot deel deelt. Ik heb collega Recourt overigens niet over dit advies gehoord, hoewel het een belangrijk document is. Het is immers de eerste keer dat de Kamer over het voorliggend wetsvoorstel advies heeft gevraagd aan de Raad van State. Ik noem de punten van de Raad van State op, omdat ik van de staatssecretaris verwacht dat hij deze punten meeneemt in de onderhandelingen in Europa. Ik weet dat zijn positie daar lastig is, als een van de 27 lidstaten, maar ik denk dat hij op dit punt medestanders kan vinden.

Ik begin met het allerbelangrijkste punt. De Raad van State zegt dat er dankzij deze verordening een enorme hoeveelheid bevoegdheden wordt overgedragen aan de Europese Commissie. De principiële vraag is of we dat moeten willen. De beleidsvrijheid die Nederland overhoudt na het aannemen van de verordening is bijzonder beperkt. De verordening heeft rechtstreekse werking, we kunnen er dus niet met eigen wetgeving iets aan veranderen. Dat baart mij echt zorgen, mede omdat er maar liefst 30 delegatiebepalingen in de verordening staan waarbij de besluitvorming, en dus in zekere zin ook de wettelijke macht, wordt overgedragen aan de Europese Commissie. De democratische legitimatie van de Europese Commissie met het Europees Parlement is voor de VVD-fractie echt een punt van zorg. Is de staatssecretaris bereid om nog eens grondig naar de delegatiebepalingen te kijken en daar waar mogelijk een aantal ervan te schrappen? Ik ben graag bereid om de staatssecretaris daarover in meer detail te informeren, als hij dat op prijs stelt.

Ik heb de vorige keer al aandacht gevraagd voor de kwestie van de administratieve lasten. Deze verordening is gepresenteerd met het geweldige bericht dat er 2,3 mld. bespaard zou worden op de administratieve lasten. Dat is natuurlijk een fantastisch geluid. De verordening noch het persbericht, echter, rept over de nalevingkosten, de kosten voor de verantwoordelijken, de bewerkers en de betrokkenen, die allerlei kosten moeten maken, vermoedelijk meer dan nu het geval is, om deze verordening daadwerkelijk uit te voeren. Daarover maakt de VVD-fractie zich grote zorgen. Zoals ik de vorige keer al zei, is het ronduit schokkend dat de Europese Commissie een verordening maakt en alleen maar praat over daling van de lasten voor overheden maar kennelijk geen interesse heeft in wat het kost om een en ander uit te voeren. Dat is voor ons een erg belangrijk punt; je kunt het niet maken om in tijden van crisis het bedrijfsleven met een enorme kostenpost op te zadelen als dat niet in alle gevallen leidt tot betere bescherming van de privacy van onze inwoners.

De heer Van der Steur (VVD): Dat is inderdaad beter. Ik heb de vorige keer namens de VVD dan ook uitgebreid gezegd dat dit een goed idee is. Overigens is die ontwikkeling niet af, maar daar kom ik zo meteen nog op terug. Het is nog niet helemaal goed geregeld op dat punt. Het is echter een goed uitgangspunt. Er zitten wel degelijk ook positieve punten in deze verordening, dat is het probleem niet. Die staan echter in geen verhouding tot het feit dat men gewoon vergeet om duidelijk te maken wat een en ander het bedrijfsleven gaat kosten. Daarvoor werd de afgelopen maanden door veel vertegenwoordigers van het bedrijfsleven, de advocatuur en de wetenschap aandacht gevraagd, omdat het een groot punt van zorg is. Ik blijf het schokkend vinden dat de Europese Commissie zich niet verwaardigt om in ieder geval een berekening daarvan aan te leveren.

Voorzitter. We hebben het vandaag ook over de toezichthouders. De kern van de verordening is dat niet alleen per land toezicht gehouden gaat worden maar ook vanuit Europa. De gehele verordening ademt vertrouwen in de toezichthouders. De VVD-fractie wil dat vertrouwen best opbrengen, maar er moeten nogal wat vage regels worden ingevuld. Die toezichthouders, in samenwerking met de Europese Commissie, nemen de leiding over van het nationale parlement betreffende de invulling van deze verordening. Dat vinden wij, vanuit ons uitgangspunt dat we er graag zelf over gaan, erg problematisch. Het betekent bijvoorbeeld ook dat er in de verordening geen check-and-balances zijn opgenomen ten aanzien van de toezichthouders. Hoe controleren we die dan? Hoe kan het Nederlands parlement zijn invloed aanwenden op de Nederlandse toezichthouder, maar ook op andere toezichthouders in Europa, laat staan op de Europese toezichthouder? Al dit soort dingen is niet geregeld.

Is de reikwijdte van deze verordening beperkt tot de Europese Unie of is het de bedoeling om de verordening uit te breiden over de rest van de wereld? Als dat zo is, hoe gaan we dat dan uitvoeren? Persoonlijk en huishoudelijk gebruik wordt in het voorstel beperkt tot activiteiten die niet gericht zijn op winst. Dat betekent dat daar dus een uitzondering voor geldt. Dat zou kunnen betekenen dat een particulier die een oude fiets wil verkopen op Marktplaats wel aan allerlei verplichtingen moet voldoen. Is dat de bedoeling van deze verordening? Het is een mooi voorbeeld van iets waarover waarschijnlijk wel goed is nagedacht, maar waarbij niet is doorgeredeneerd wat het daadwerkelijk zal betekenen. Dit betekent dat de reikwijdte van het kernbegrip «persoonsgegevens» moet worden verduidelijkt. Wat zijn persoonsgegevens precies? Ook het CBP heeft af en toe dit idee waardoor bij ons het idee ontstaat dat «individualiseren» en «identificeren» wordt verward. Op die manier komt men tot een onbeperkte reikwijdte van het begrip «persoonsgegevens». Dat is nou precies niet de bedoeling.

In essentie gaat het de VVD om de vraag hoe je komt tot een benadering van de verordening die is gebaseerd op risico's. Iedereen wil dat Google en Facebook aan de strengste eisen moeten voldoen, zoals collega Recourt al heeft gezegd. Niemand wil echter dat de drogist op de hoek die een advertentie over steunkousen wil sturen aan zijn klanten, iets wat betrekking heeft op bijzondere persoonsgegevens in de huidige wettelijke tekst, aan alle eisen moet voldoen.

Natuurlijk is ook de grens van 250 werknemers volstrekt irrelevant. Het moet gaan om een risicogerichte benadering. Kan de staatssecretaris toezeggen dat hij dat uitgangspunt in het oog zal houden? Ik realiseer mij dat dit lastig is, want het is een open begrip, maar iedereen begrijpt dat we Google wel aan banden willen leggen en controleren maar dat de gewone ondernemer die in Nederland op een normale manier zijn (salaris)administratie voert, niet aan die strenge eisen hoeft te voldoen, tenzij er goede redenen zijn waarom dat wel moet. Dat moet het uitgangspunt van de verordening zijn.

De heer Elissen (PVV): Voorzitter. Het is goed om van de collega's te horen dat zij zich op een aantal punten zorgen maken. Ook de PVV heeft zorgen, die ik graag met de staatssecretaris deel.

Het is belangrijk om wet- en regelgeving zorgvuldig te bekijken, want voor je het weet is een en ander ingevoerd en dan zijn we te laat. Vandaar ook het behandelvoorbehoud en de afspraken die we daaromtrent hebben gemaakt. De Nederlandse regering vindt het allemaal prima. De Nederlandse regering zegt: komt u maar, hoe meer Europa hoe beter. De PVV zit er wat kritischer in. Ik heb hier een citaat uit een brief van minister Opstelten van 27 april van dit jaar: «De regering kan de precieze grondslag van de opvattingen van de door de commissie-Meijers aangehaalde instanties niet goed duiden, maar kan zich overigens niet goed voorstellen dat de Europese Commissie een voorstel zou presenteren dat, in ieder geval vanuit juridisch perspectief, een te laag niveau van gegevensbescherming zou bieden.» Wat ons betreft is dit ronduit schokkend. Ik geef het voorbeeld van het walgelijke Acta-verdrag. Dat kwam ook uit Europa. De opmerking dat men zich niet kan voorstellen dat daar slechte producten vandaan komen, deel ik dus niet. Ik vraag de staatssecretaris dan ook of hij de Kamer kan verzekeren dat hij kritisch blijft kijken naar alle voorstellen die ons vanuit Europa bereiken. De opmerking dat hij en de minister zich «niet kunnen voorstellen» dat iets wat uit Europa komt niet goed is, vind ik niet bepaald bemoedigend.

De vorige uitgelekte versie van de Europese conceptregelgeving kende wel degelijk een lager beschermingsniveau dan de Nederlandse wetgeving die kent. Voor de aardigheid waren daar de rechtshulpverzoeken ook maar even uit gefietst. Natuurlijk heb ik toen moties ingediend en een aantal daarvan is aangenomen. Ik hoop dat we nog op tijd waren om een aantal zaken bij te sturen. In gewonemensentaal betekende het dat allerhande buitenlandse mogendheden zonder tussenkomst van de Nederlandse rechter allerlei gegevens van Nederlanders kunnen opeisen. Deze regelgeving kan dus zeer vervelend uitpakken voor de Nederlandse burger waar het de privacy betreft. Hoeveel ruimte is er zo meteen nog voor Nederland? Zoals wij het zien, is dat bitter weinig. De staatssecretaris zei het zelf al, tijdens het algemeen overleg op 7 maart: enerzijds biedt de verordening geen mogelijkheid om er nationale koppen bovenop te zetten. De ruimte is dus nul. Ook de Raad van State heeft dit geconcludeerd.

Dan het punt van het informeren van de Kamer. We hebben daar afspraken over gemaakt; ik refereer aan de brief van 20 maart. Dan is het natuurlijk vreemd dat we via een website als www.statewatch.org wél aan de nieuwste versie van het wetsvoorstel kunnen komen, terwijl we deze van de staatssecretaris nog niet hebben ontvangen. Waarom kan de staatssecretaris een voorstel over privacy niet open en bloot met de Tweede Kamer delen?

Staat Nederland alleen in zijn mening dat het voorstel aandachtig bekeken moet worden? Nee, bepaald niet. Gelukkig, zou ik bijna zeggen. Naast Nederland plaatsten ook Tsjechië, Hongarije en Polen een parlementair behandelvoorbehoud. Alle andere lidstaten hebben ook zo hun bedenkingen, dat staat althans in de meest recent gelekte versie van het voorstel, die van 22 juni 2012. Kan de staatssecretaris meer vertellen over de wijze waarop de verschillende landen in deze strijd zitten?

Ik kom op de inhoudelijke problemen met het voorstel. Het belangrijkste punt van zorg is en blijft de doelbinding. Doelbinding betekent toch dat je gegevens die je voor een bepaald doel verzamelt, niet stiekem voor iets anders gebruikt? De burger moet erop kunnen vertrouwen dat de overheid van tevoren netjes duidelijk maakt wat zij gaat doen en met welk doel de gegevens worden verzameld. De burger moet de overheid kunnen vertrouwen. Het moet dus niet mogelijk zijn dat er achter je rug om allerlei gegevens bij elkaar worden geharkt en dat men vervolgens zelf maar bepaald waarvoor die worden gebruikt. Dat past gewoonweg niet in een democratie.

Staatssecretaris Teeven heeft het heel eufemistisch over «flexibilisering van de doelbinding». Dat klinkt natuurlijk heel flexibel, maar ook zorgwekkend. Regels zijn regels, wat ons betreft. Die gelden voor de burgers maar ook voor de overheid. Wij staan voor law and order en dat houdt in dat de overheid ook zichzelf in het gareel moet zien te houden en zichzelf niet meer bevoegdheden moet toekennen dan noodzakelijk. Is de staatssecretaris ook voor law and order, of is hij alleen maar van de order? Kan de staatssecretaris garanderen dat hij zich hard blijft maken om doelbinding een prominente plaats te geven in het Europese voorstel? Ik vraag hem of hij daar écht voor gaat en of hij zijn ideeën over flexibele of contextafhankelijke doelbinding wil laten varen. Die klinken mij namelijk vaag in de oren.

Tot slot vraag ik aandacht voor de bestuurlijke boete. Ik heb de brief en de reactie gelezen. Als we het CBP adequaat willen toerusten ontkomen we er bijna niet aan om te zorgen dat het ook de bevoegdheid tot het opleggen van een bestuurlijke boete krijgt. De argumenten die de staatssecretaris aanhaalt, komen erop neer dat ze nu in Brussel bezig zijn en dat het zonde van de tijd en de energie is om dan op nationaal niveau iets te regelen. Van een aantal partijen heb ik begrepen dat dat Brusselse nog wel een aantal jaar kan duren; ik heb zelfs de termijn van vijf jaar horen vallen. Waarom zouden wij het in Nederland dan niet ook regelen, zoals het in andere lidstaten ook al geregeld is?

Mevrouw Berndsen (D66): Voorzitter. Onze vrijheid staat op de tocht. Door technologische ontwikkelingen en een toenemende zucht naar veiligheid leveren we steeds meer van onze privacy in. Kopietjes van ons paspoort liggen bij steeds meer aanbieders van diensten en producten, en als je naar de zon wilt vliegen, ga je als potentieel crimineel in een database. Dergelijke ontwikkelingen maken een stevige bescherming van onze gegevens belangrijker dan ooit.

De herziening van de Europese privacyregels biedt een kans om de privacy van de Europese burgers nu zo goed mogelijk te regelen, met voor iedereen overal in Europa dezelfde regels, waarbij de balans is gewaarborgd tussen enerzijds onze burgerrechten en anderzijds de macht van de overheid en de verzamelzucht van bedrijven. Daarom is de keuze voor een verordening een grote stap voorwaarts. Daarom moeten we nu in de voorhoede stevige stappen vooruit durven zetten. Voor D66 betekent dat drie dingen. Ten eerste, maximaliseer het niveau van gegevensbescherming. Ten tweede, versterk de rechtspositie van burgers. Den derde, geef de privacywaakhond tanden.

Ten eerste. D66 wil een hoog beschermingsniveau waarvan alleen onder specifieke voorwaarden kan worden afgeweken. Dat de bescherming nu wordt vervat in twee verschillende instrumenten, waarbij het beschermingsniveau fors uiteenloopt, vindt mijn fractie niet wenselijk. Op deze toer zijn bedrijven straks via de verordening aan strakke regels gebonden, maar kunnen opsporingsdiensten via de richtlijn vrijwel onbeperkt met onze gegevens aan de slag. Wat is op dit moment het krachtenveld in Europa als het gaat om het verschil in bescherming? Welke positie neemt het kabinet daarbij in? Mijn fractie ziet vooralsnog weinig beweging bij de Raad als het gaat om de richtlijn en hoort geluiden dat overheidsdiensten zich onder de regels uit zouden wurmen. D66 vindt het onacceptabel als de overheid zich aan regels voor gegevensbescherming zou onttrekken. Juist de klassieke balans tussen burgerrechten en macht van de overheid behoeft stevige waarborgen. Klopt het dat binnen de Raad wordt overwogen om de richtlijn op ijs te zetten? Is het kabinet bereid om bij de Raad actief te pleiten voor behandeling van de richtlijn en daarbij in te zetten op een zo hoog mogelijk beschermingsniveau?

Mevrouw Berndsen (D66): Ik kan een ander voorbeeld geven, dat van passagiersgegevens die worden verstrekt. Dat gaat soms van de ene overheid naar de andere overheid, terwijl dat niet altijd nodig is in het kader van de opsporing. Dat gebeurt dan vanuit het uitgangspunt dat we in een risicoloze samenleving zouden moeten leven en omdat het anders wellicht terrorisme zou bevorderen. Ik vind echt dat de overheid de verplichting heeft om goed te kijken naar de bescherming van de gegevens van haar inwoners.

Voorzitter. Mijn fractie ziet vooralsnog weinig beweging bij de Raad als het gaat om de richtlijn. Ik sprak al over de klassieke balans tussen burgerrechten en macht van de overheid. Die balans behoeft een stevige waarborg. Ik hoor dus graag van de staatssecretaris of het inderdaad waar is dat de Raad overweegt om de richtlijn op ijs te zetten. Is het kabinet bereid om bij de Raad actief te pleiten voor de behandeling van de richtlijn en daarbij in te zetten op een zo hoog mogelijk beschermingsniveau?

Hoe wordt omgegaan met druk van buitenaf? Ik noemde het al even: onze passagiersgegevens en vingerafdrukken zijn geliefd bij de Amerikanen. Ik weet ook niet waarom, maar kennelijk is het zo. Klopt het dat de Amerikanen aan de Europese tekentafel zitten en zich bemoeien met onze privacyregels? Is de staatssecretaris bereid om bij de Europese Commissie aan te dringen op gepaste afstand tussen Europa en buitenstaanders?

D66 wil een «risk driven»- en «principle based»-invulling van de verordening, waarbij wordt uitgegaan van de daadwerkelijke risico's, in plaats van dat er alleen mechanisch een lijstje bureaucratische eisen wordt afgewerkt. Bedrijven moeten een stevige eigen verantwoordelijkheid krijgen om gegevensbescherming goed te regelen en datalekken te melden, met zware sancties als stok achter de deur. Hoe staat het kabinet hierin? Deelt de staatssecretaris het uitgangspunt van verantwoordelijkheid met zware sancties als stok achter de deur?

Ten tweede. Het versterken van de rechtspositie van burgers. Bescherming van privacy gaat om bescherming van mensen. Versterk de rechtspositie van burgers en maak burgers baas over hun eigen gegevens. D66 vindt dat voortaan toestemming gevraagd moet worden voor het gebruik van gegevens. De bestaande richtlijn bevat zo'n eis, maar die is in de praktijk een dode letter gebleken. Dit onderwerp vraagt om een stevige verankering van het toestemmingsvereiste in de nieuwe verordening. Uitgangspunt moet zijn dat stilzwijgende instemming, toestemming zonder actie van de burger of toestemming als de gebruiker geen echt alternatief heeft, niet langer kan worden beschouwd als rechtsgeldige toestemming. Instemming met algemene voorwaarden is niet hetzelfde als toestemming voor gegevensverwerking. Wat vind het kabinet van deze stevige waarborg tegen misbruik? Welke afwegingen maakt het ten gunste of nadele van de burgers?

Ten derde. Geef de privacywaakhond tanden. Dit is al vaker aan de orde geweest. D66 wil een privacywaakhond met tanden, een toezichthouder met voldoende capaciteit en een boetebevoegdheid, want bescherming van onze gegevens staat of valt met naleving van de regels. Dit kabinet, echter, toont zich niet bereid om het CBP van tanden te voorzien. Geen boetebevoegdheid voor het CBP betekent een blaffende hond. Zoals we allemaal weten, bijten die niet. D66 vindt dat het kabinet de boetebevoegdheid van het CBP nu moet regelen en niet moet wachten op Europa. Mijn collega Elissen zei dit al. Ook in de onderhandelingen in Europa moet het kabinet gaan staan voor effectieve en afschrikwekkende boetes. Is het kabinet bereid om daarop in te zetten?

Mevrouw Van Toorenburg (CDA): Voorzitter. Ik begin mijn inbreng namens het CDA met dank te zeggen aan mevrouw Lisa Vermeer, die zo haar best heeft gedaan om ervoor te zorgen dat de Kamer behoorlijk op dit dossier zit. Ik vind het wel aardig om daar iets over te zeggen.

We bespreken vandaag een heel belangrijk onderwerp. Tegelijkertijd heeft het CDA een gevoel van déjà vu; aan het einde van het parlementair jaar komt alles weer terug. Immers, we moeten feitelijk constateren dat alles wat er vandaag door de leden van deze commissie wordt gezegd al eerder, in het voortraject, aan de orde is gesteld. Het is bijna beangstigend om te zien wat er gebeurt met de kritiek, het commentaar en de zorgen die we hebben geuit. Daarom is het goed dat we er vandaag nogmaals stevig op ingaan. De bescherming van persoonsgegevens is immers eenvoudigweg een grondrecht. We zien dat het ook steeds meer verankerd is in Europa en in onze eigen grondwet. We zien dat de regels die tot nu toe in Europa worden gehanteerd eigenlijk uit het pre-internettijdperk stammen. Een modernisering is daarom van groot belang.

De CDA heeft een aantal maal, waaronder bij motie, duidelijk gemaakt dat het er zeer aan hecht dat burgers actief en voorafgaand toestemming verlenen voor gebruik van hun gegevens. We zien dat dit ook het uitgangspunt is van de ontwerpverordening. Er staat ook dat de verwerking van gegevens moet worden beëindigd wanneer de toestemming wordt ingetrokken en er geen andere rechtvaardigingsgrond rest. Echter, in artikel 7 van de ontwerpverordening staat dat toestemming geen grondslag voor verwerking van persoonsgegevens biedt als er een aanzienlijke onevenwichtigheid bestaat tussen de positie van de betrokkenen en die van de voor de verwerking verantwoordelijken. Dit baart ons zorgen. Kan de staatssecretaris de CDA-fractie geruststellen op dit punt? Het lijkt een beetje alsof het allemaal al zo is, tenzij je eigenlijk maar een minimaal belangetje hebt. Het CDA maakt zich zorgen hierover. We krijgen graag een geruststelling van de staatssecretaris.

Wij zien in de verordening ook duidelijke taken voor de nationale toezichthouder staan. In Nederland is dat het College bescherming persoonsgegevens. De staatssecretaris heeft zijn oor te luisteren gelegd bij het bedrijfsleven. Dat is prima. We hebben echter gelezen dat hij niet voornemens is om ruimte te bieden voor prejudiciële vragen die dan mogelijk betaald zouden kunnen worden. We hebben daarvan kennis van genomen. We zullen zien of die opvatting zal blijven. We kijken er even naar; we weten nog niet of we er genoegen mee zullen nemen, maar voor nu is het prima.

Daarnaast maakt de staatssecretaris duidelijk dat hij nog niet voelt voor uitbreiding van de sanctiebevoegdheden. Hij wil geen dubbel werk doen en niet vooruitlopen op de onderhandelingen over de verordening. Het lijkt bijna een beetje gemakkelijk geredeneerd. Waarom zou het immers een probleem zijn om erop vooruit te lopen? Zoals de heer Elissen terecht zei, moeten we immers een behoorlijke tijd overbruggen voordat alles op een behoorlijke manier in de steigers is gezet.

Het CBP suggereert om in de verordening ruimte te creëren voor de nationale toezichthouders om zelf te beslissen welke zaken zij ter hand nemen. Wij kunnen ons hier iets bij voorstellen; het kabinet zegt zelf ook daar niet op voorhand tegen te zijn. We willen echter wel duidelijker weten wat het precies voorstelt. In de conceptverordening is een belangrijke rol weggelegd voor de nationale toezichthoudende instanties. Bij hen kan men terecht met klachten. Wordt dan zelf gekeken welke klacht belangrijk genoeg is? Is daar een ruime discretionaire bevoegdheid? Wat gaat de staatssecretaris doen wanneer hij ziet dat er een fundamenteel probleem is? Kortom, hoe zorgen we ervoor dat de zaken worden aangepakt die daadwerkelijk moeten worden aangepakt? Of kan het ook zo zijn dat er wordt geredeneerd: het wordt een beetje ingewikkeld, we doen het nu maar even niet?

We hebben al eerder gezegd dat er gekke dingen in de verordening zitten. Ik kom wederom terug op het punt dat bedrijven met meer dan 250 werknemers verplicht zijn om een data protection officer aan te stellen. Dat is op zich goed, maar dat getal 250 blijft een heel vreemde maatstaf. Het zou moeten gaan om het risico dat wordt gelopen. Dat kan bij kleine bedrijven evenzoveel aan de orde zijn als bij grote. Ik was laatst bij een bedrijfje waar drie mensen werken, die gaan over een enorme bulk gegevens. Dat is veel linkere boel dan een bedrijf waar 251 mensen werken die daar helemaal niet mee bezig zijn, een aardbeienkwekerij bijvoorbeeld. In een dergelijk bedrijf is men waarschijnlijk helemaal niet met gegevensbescherming bezig maar kunnen wel veel mensen in dienst zijn. Kortom, kunnen we opnieuw kijken naar risico als criterium?

Verder wordt er gesproken over «overheidsorganen of -instanties». In Nederland snappen we nog wel waar we het dan over hebben, maar je ziet in heel veel landen dat taken zijn uitbesteed, bijvoorbeeld aan zbo's. Hoe werkt dit dan? Wat wordt precies bedoeld met «overheidsinstanties of -organen»? Die terminologie maakt het ingewikkeld. Wanneer moet wie waaraan voldoen?

Ik heb een paar vragen over de ontwerprichtlijn. Wat is precies de samenhang? Ook hierbij is er discussie mogelijk over de verhouding tussen de richtlijn en de verordening. De een is een soort Wet bescherming persoonsgegevens en de andere gaat verder, als een soort Wet politiegegevens. Hoe verhoudt de een zich tot de ander? Ik voeg mij verder bij de opmerkingen van mevrouw Berndsen op dit punt.

Wil de staatssecretaris nader ingaan op het toepassingsbereik van de richtlijn? We lezen dat onder «bevoegde autoriteiten» moet worden verstaan elke overheidsinstantie die bevoegd is ten aanzien van de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen. Het gaat dus niet alleen om opsporen en vervolgen maar ook om voorkómen. Dat is een bijzonder ruim begrip. Ook daarover krijgen we graag duidelijkheid.

In de ontwerprichtlijn lezen we dat de persoonsgegevens moeten worden verwerkt onder verantwoordelijkheid en aansprakelijkheid van de voor de verwerking verantwoordelijken. Wat betekent hier «aansprakelijkheid»?

Tot slot. We hebben zorgen ontvangen van de Verbond van Verzekeraars. De bond begrijpt goed dat het natuurlijk maar zeer beperkt is toegestaan om medische gegevens te gebruiken. Je ziet in dit geval echter wat je ook bij strafrechtelijke gegevens ziet. De verzekeraars zijn bij uitstek organisaties die fraude moeten tegengaan. Zij staan nu met de rug tegen de muur, omdat ze geen gegevens kunnen gebruiken om te handhaven.

Staatssecretaris Teeven: Voorzitter. Dank aan de Kamerleden voor hun vragen en opmerkingen. De Kamer had een behandelvoorbehoud ingesteld. Dat betekent ook veel werk voor de Kamer zelf, veel voorbereidingswerk. Het is mij een genoegen om van gedachten te wisselen met deze vaste commissie. Het is ook goed dat de Raad van State om advies is gevraagd over dit onderwerp. Dat geeft duidelijkheid over een aantal onderwerpen. Soms kan de regering dat als steun in de rug ervaren, maar soms ook niet. De leden hebben in hun inbreng bij een aantal onderwerpen de vinger op de zere plek gelegd. Ik zal deze punten bespreken.

De heer Van der Steur werpt het punt van de ruimte voor nadere regelgeving op. We moeten vaststellen dat de ontwerpverordening veel ruimte laat voor nadere regels. Je spreekt dan over gedelegeerde handelingen. Zaken als de criteria voor het wissen van gegevens, uitzonderingen op het verbod van geautomatiseerde verwerking van persoonsgegevens en de vraag hoe je een datalek omschrijft, moeten in de verordening nog gedelegeerd en omschreven worden. Daarnaast gaat het ook over uitvoeringshandelingen. Daar is ook nog heel veel ruimte.

De vraag is wel aan de orde – dit speelt momenteel ook in de onderhandelingen – of de Commissie binnen de grens van artikel 290 van het EU-verdrag blijft met haar uitgangspunten. Uit artikel 291 bijvoorbeeld volgt dat bij iedere bevoegdheid van de Commissie tot een uitvoeringshandeling moet worden gemotiveerd waarom de betreffende handeling niet aan de lidstaten kon worden overgelaten. In de toelichting op de verordening wordt daar nauwelijks op ingegaan. Ik denk dat dit ook een van de zorgen van de heer Van der Steur is en dat hij zich afvraagt hoe het zit met de nadere regelgeving. Hij vindt dat de verordening veel delegatiebepalingen heeft en veel uitvoeringshandelingen. Ik ben het daarmee eens; de regering deelt deze zorg. We hebben de zorg van Nederland over de gedelegeerde regelgeving ingebracht in de werkgroep van 22 en 23 februari jongstleden. We zitten natuurlijk nog midden in de ambtelijke besprekingen over de verordening.

De fracties van PvdA, PVV en D66 constateren dat de ontwerpverordening veel dan wel te veel ruimte biedt – dat kun je politiek verschillend interpreteren – om af te wijken van de doelbinding. Dat kun je constateren, maar de regering is het daar niet mee eens. Op zich zouden wij wel willen instemmen met de door de Commissie voorgestelde regeling; het beginsel van doelbinding moet je niet verabsoluteren maar dynamisch toepassen. Ik weet wat de heer Elissen daarover heeft gezegd, maar ik denk dat het belangrijk is dat je het dynamisch toepast in een veranderende omgeving. Deze staatssecretaris is niet alleen voor order maar ook voor law, om de opmerking van de heer Elissen meteen maar te pareren. Je kunt echter niet met de mond belijden dat je voor order bent – zoals ik een beetje bespeur bij de heer Elissen – maar tegelijkertijd zo erg voor law zijn dat je niet kunt inspelen op de praktische veranderingen die plaatsvinden. De regering wil dat graag wél doen. Dat betekent echter niet dat we de doelbinding daarbij uit het oog verliezen.

Dit zijn nog maar mijn inleidende opmerkingen; ik kom nog aan een uitgebreide beantwoording toe. Ik realiseer mij dat mijn opmerkingen wel een beetje politiek zijn.

De heer Elissen (PVV): Ik zeg maar zo: de campagne is begonnen, maar het is nog geen tijd voor champagne, dus laten we het rustig aan doen met de verkiezingsretoriek.

Ik hoor de staatssecretaris spreken over flexibele toepassing, met ruimte voor law and order. Natuurlijk, de PVV is ook voor law and order. Wat law and order en informatie-uitwisseling betreft, denk ik dat niemand hier er moeite mee heeft als je de uitwisseling op een zorgvuldige wijze doet, namelijk op basis van een rechtshulpverzoek, op basis van de spelregels die we met elkaar hebben afgesproken over in welke gevallen je welke informatie uitwisselt. Dat is heel to the point. Als het echter niet gaat om dergelijke specifieke zaken, moeten we de doelbinding absoluut zo strak mogelijk zien te houden. Hoe flexibel wil de staatssecretaris het nog hebben?

Staatssecretaris Teeven: Ik zou het woord «circus» niet willen gebruiken. Je kunt zeggen dat Brussel een bureaucratie is, je kunt het Brussels overlegcircuit allerlei namen noemen, maar het woord «circus» zou ik niet direct willen gebruiken.

Het is niet aan mij als lid van de regering om de vragen van de leden van de commissie te riposteren, maar ik blijf wel zitten met het voorbeeld van een probleem in de jeugdzorg waarbij je bepaalde informatie hebt en je wilt zorgen dat je veelplegers op een effectieve wijze bestrijdt. Nu ligt er een klacht van het CBP bij ons ministerie dat je niet alles zomaar kunt uitwisselen. Daarbij is de doelbinding onderwerp van discussie. Ik zou niet graag zien dat wij in het kader van effectief zorgen voor veiligheid in de samenleving maar ook in het kader van effectieve jeugdzorg bepaalde gegevens niet mogen uitwisselen doordat we te rigide vasthouden aan doelbinding. Natuurlijk is doelbinding een belangrijk uitgangspunt, daar wordt dan ook over gesproken in Brussel. We zijn ermee bezig. Ik wil er echter wel dynamisch naar kijken. Zo moet u mijn brief van 27 april ook uitleggen. Ik begrijp dat in ieder geval een aantal commissieleden de brief ook zo heeft opgevat.

Staatssecretaris Teeven: Voorzitter. Ik realiseer mij dat ik het soms ook oproept. Ik zal zakelijker antwoorden.

De heer Van der Steur spreekt namens de VVD-fractie over lastenverzwaring. Hij is van mening dat er veel meer verplichtingen zijn in de verordening voor de verantwoordelijken. Ik meen dat ook mevrouw Van Toorenburg hiervoor aandacht heeft gevraagd vanuit het bedrijfsleven. Er zijn inderdaad nieuwe verplichtingen die ook de Nederlandse regering zorgen baren. Ik noem het bewaren van documentatie, de beveiliging van gegevens, het uitvoeren van privacyeffectbeoordelingen, het voorafgaand consulteren van de toezichthoudende autoriteiten of het aanwijzen van een functionaris voor de gegevensbescherming. Dat alles is een opeenstapeling van wettelijke verplichtingen, waarbij de Nederlandse regering er nog niet op voorhand van overtuigd is dat die leiden tot een effectievere bescherming van persoonsgegevens. Het is niet vanzelfsprekend dat wanneer je die dingen zo vastlegt, dit per saldo leidt tot betere bescherming. Ik meen dat te bespeuren in de bijdrage van de heer Elissen. De afweging tussen de bescherming van persoonsgegevens en het belang van een adequate taakuitvoering door degene die de gegevens heeft, brengt met zich mee dat zekere grenzen worden gesteld aan de verplichtingen van de verantwoordelijke, degene die verantwoordelijk is voor de gegevens. Het recht op de bescherming van de persoonlijke levenssfeer is natuurlijk geen absoluut recht, het moet steeds opnieuw worden afgewogen tegen andere rechten.

De heer Van der Steur vraagt zich af of er wel sprake is van een afname van de administratieve lasten. Dit punt heeft onze zorg. In eerste lezing van de verordening zou je op zijn minst kunnen concluderen dat eerder het omgekeerde het geval is. Wat ons betreft is de motivering van de Commissie dan ook niet overtuigend. We hebben daar grote zorgen over. Er leven grote zorgen over de gevolgen van de voorstellen voor de administratieve lasten. We hebben dit in Brussel duidelijk ter sprake gebracht. Ik verwijs verder naar mijn brief van 14 juni. Dit punt was ons namelijk al eerder opgevallen. We zullen bij de onderhandelingen steeds opnieuw hierop blijven inzetten.

De fracties van CDA en VVD hebben aandacht gevraagd voor het criterium van 250 werknemers. Dit is het punt dat sommige verplichtingen alleen van toepassing zouden moeten zijn voor bedrijven met meer dan 250 werknemers. Ook wij vragen ons af of er niet beter kan worden uitgegaan van het risico van verwerking vanuit het oogpunt van de bescherming van de persoonlijke levenssfeer. Ook dit punt is ingebracht, niet alleen door Nederland maar ook door andere landen, in de bespreking van 22 en 23 februari. Bij de vervolggesprekken zal dit blijvend een punt van aandacht zijn. Ook dat heb ik in de brief van 14 juni al gemeld.

Staatssecretaris Teeven: Ik weet niet of de industrielobby een enorme voet aan de grond heeft gekregen, dat kan ik niet zo zeggen. Ik denk dat de regering het niet het meest voor de hand liggende uitgangspunt vindt om aan te haken bij die 250 werknemers. Het ligt meer voor de hand om een ander criterium te nemen, dat ik zojuist al noemde, namelijk het risico van verwerking uit oogpunt van bescherming van de persoonlijke levenssfeer. Dit zou eerder het ijkpunt moeten zijn, het vertrekpunt van waaraf je redeneert.

Voorzitter. Uit de bijdrage van de heer Recourt meen ik een aantal opmerkingen over het noodzakelijkheidcriterium op te maken. In het huidige kaderbesluit voor de gegevensverwerking door politie en justitie wordt de mogelijkheid geboden om gevoelige persoonsgegevens – ras, seksuele voorkeur, geloofsovertuiging – te verwerken wanneer dat strikt noodzakelijk is. Dat is een heel absolute regeling. In de ontwerprichtlijn voor politie en justitie is dit punt weggevallen. De regering is van mening dat we dit punt opnieuw moeten inbrengen in de onderhandelingen.

De heer Van der Steur heeft een aantal vragen over de positie van de Commissie ten opzichte van de toezichthouders. Het kabinet heeft moeten vaststellen dat de werkwijze van het Comité niet meteen duidelijk is. We hebben dus ook vragen over hoe de dwingende bevoegdheden van de Commissie zich verhouden tot een onafhankelijke positie van de nationale toezichthouders. Dat zou eigenlijk ook de zorg moeten zijn van de voorzitter van het CBP, maar ik heb dit daar niet teruggezien. Het is in ieder geval wel de zorg van het kabinet. Er is op dit punt verheldering nodig. Dat zullen we inbrengen in de onderhandelingen, want het is geen helder punt.

Staatssecretaris Teeven: Ik dacht dat ik daarmee was begonnen. Ik begon mijn betoog met opmerkingen over de vele ruimte die er is voor nadere regels, zowel wat betreft gedelegeerde wetgeving als uitvoeringshandelingen. Ik heb ook een aantal voorbeelden genoemd van gedelegeerde handelingen waaraan nog invulling moet worden gegeven. Die zorg leeft dus wel degelijk. Het is daarom van groot belang dat het kabinet bekijkt in welke gevallen de Commissie de bevoegdheid wordt verleend om nadere regels te stellen. In hoeverre geven de lidstaten de Commissie de ruimte om nadere regels te stellen? Dat zullen we als uitgangspunt hanteren. Ik heb dit zojuist al gemeld, maar ik wil het best herhalen.

Voorzitter. Ik loop de vragen van de leden die nog zijn blijven liggen puntsgewijs na. De heer Recourt vraagt of ik het signaal herken dat er landen zijn die de richtlijn willen schrappen. Het is bekend dat verschillende lidstaten kritisch zijn over de richtlijn. Zij hebben aarzelingen bij de reikwijdte van de materiële gegevensverwerking of vinden dat eerst het huidige kaderbesluit dataprotectie van 2008 geëvalueerd moet worden. Er ligt nu een voorstel van de Commissie op tafel. Op zich is Nederland voorstander van de richtlijn; ik verwijs ook naar de BNC-fiche die de Kamer is toegezonden. Tijdens de lunch van de laatste JBZ-Raad heb ik steun gegeven aan die ruime reikwijdte van de richtlijn. Die steun heb ik daar al uitgesproken namens Nederland.

Staatssecretaris Teeven: Ja, daar verzet Nederland zich tegen.

Voorzitter. De heer Recourt vraagt ook naar de bepaling dat landen voor een adequate financiering moeten zorgen. Daarmee loop je het risico dat Europa bepaalt wat adequaat is. Die zorg van de heer Recourt deel ik. Daarom vind ik dat het eindoordeel wat «adequate financiering» is, zal moeten berusten bij de verantwoordelijke Nederlandse instantie, de Kamer zelf.

Het CBP bepleit de uitbreiding van het begrip «persoonsgegevens» tot «gegevens waarmee personen zich van anderen kunnen onderscheiden», de one stop shop. Waarom ga ik daar niet in mee, wil de heer Recourt weten. Laat ik het zo zeggen: ik waardeer de prikkelende denkexercitie van het CBP. Ik blijf echter terughoudend op dit punt, omdat het begrip «persoonsgegevens» in de afgelopen decennia aanleiding heeft gegeven tot veel interpretatieproblemen. Dat zal met de voortschrijdende technische ontwikkelingen van dit moment eerder toenemen dan afnemen. Als we dit begrip uitbreiden met het element «zich van anderen onderscheiden» levert dat vrijwel zonder twijfel op dat we nog meer interpretatieproblemen over onszelf afroepen. Overigens, met alle begrip voor de wens van het CBP om het beschermingsbereik van de verordening zo groot mogelijk te laten zijn, moeten we niet vergeten dat bedrijven en instellingen als gevolg van een verbreed begrip ook meer inspanningen moeten leveren. De heer Van der Steur vroeg daar al aandacht voor. Het is mij gebleken in de onderhandelingen in Brussel dat er voor dit standpunt weinig of geen draagvlak bestaat bij de andere lidstaten. Dat is ook een constatering.

De heer Recourt wil weten of de Ierse toezichthouder bevoegd is voor de daar gevestigde bedrijven. Ja. Als er aanleiding voor is, zal de Ierse toezichthouder via EU-mechanismen andere toezichthouders om bijstand vragen.

Ik hoop dat ik hiermee alle vragen van de heer Recourt heb beantwoord.

De heer Van der Steur vraagt naar de bereidheid tot schrappen van de delegatiegrondslagen. Die is er. Er wordt op dit moment ook al aan gewerkt in Brussel.

De heer Van der Steur wil ook weten wat ik ga ondernemen tegen de hoge lasten voor het bedrijfsleven. Ik heb dat al gezegd: wij vragen daar op politiek niveau aandacht voor. Ik heb dat gedaan tijdens de lunchbesprekingen bij de laatste JBZ-Raad. Ook op ambtelijk niveau hebben we dat gedaan. We zijn overigens niet het enige land dat dit doet; de grote landen vragen er ook aandacht voor.

De heer van der Steur wil weten of er voldoende checks-and-balances zijn bij het samenwerkingsverband van de privacytoezichthouders. Vooropgesteld: de samenwerking van de toezichthouders in de nieuwe board is binnen het concept van de verordening verklaarbaar. Ik ben er ook voorstander van. Je moet echter ook regels hebben voor de besluitvorming. Ik denk niet dat die checks-and-balances er op dit moment allemaal al zijn. Ik vind dat de standpunten van de board over de uitleg van de verordening tot stand moeten komen met veel meer betrokkenheid van bedrijven en instellingen. Dat kun je zien als lobbyen maar ook als draagvlak creëren. Ik zou het graag als dat laatste zien. Het betekent dus meer dialoog, meer rekening houden met de samenleving. Pas dan kun je die onafhankelijkheid geven en niet eerder. De regering denkt overigens ook dat de rol van de Europese Commissie op dit punt te groot is.

De heer Van der Steur wil weten of de reikwijdte van de verordening niet te groot wordt. Als voorbeeld noemt hij een reikwijdte buiten de grenzen van de EU. Het lijkt inderdaad te ambitieus, dat is ook het standpunt dat we ambtelijk hebben verwoord. Ik heb reden om aan te nemen dat de Commissie erover wil nadenken omdat ook de lidstaten dat vinden.

Verder vraagt de heer Van der Steur of de exceptie voor persoonlijk en huishoudelijk gebruik niet te beperkt is. Hij gebruikte daarbij het mooie voorbeeld van een fietsverkoop via internet. Ik denk dat dit een van de belangrijkste vragen in de onderhandelingen tot dusver is. Het gaat echt om het vinden van een juiste balans tussen de ruimere bescherming van persoonsgegevens en de uitvoerbaarheid van regels in het internettijdperk. Gehoord de discussie in Brussel vinden wij dat de Commissie verder moet nadenken over de implicaties van het voorstel. Ik denk dat dit ook gaat gebeuren. Ik zou bijna willen zeggen tegen de heer Elissen dat Nederland heus niet overal achteraan huppelt in Brussel.

Tot slot wijzen de heer Van der Steur en mevrouw Van Toorenburg op de risicogerichte benadering. Wij vragen daar al aandacht voor.

Ik kom toe aan de vragen van de heer Elissen. Hij vraagt zich af of de Kamer wel voldoende wordt geïnformeerd. Dat is een blijvende zorg die bij hem bestaat. Het is voor mij een blijvende verplichting om hem te overtuigen van het feit dat dit wel degelijk zo is. Daarin zal ik niet rusten. Hij noemde als voorbeeld dat er een nieuw draft document van de verordening is verschenen. Ik heb de Kamer bij brief van 27 juni jongstleden zo uitgebreid mogelijk geïnformeerd. Op dezelfde dag is in de onderhandelingen in Brussel uitgelegd wat de status is van het document waaraan de heer Elissen refereert. Het is door het Raadsecretariaat van de Commissie ten onrechte niet van de rubricering «restreint» voorzien en dus ten onrechte openbaar gemaakt. Er had «restreint» op moeten staan. Het stuk is inmiddels alsnog aldus gerubriceerd. Dat betekent dat ik niet vrij ben; ik zeg het maar gewoon. Het gaat dus niet om het niet goed willen voorlichten van de Kamer; ik heb gewoon de vrijheid niet om het stuk aan de Kamer te overleggen, ondanks het feit dat de leden het gewoon op internet kunnen vinden. Het document bevat de standpunten van een aantal landen, waaronder dat van ons. Die weergave is nog niet geverifieerd. Als het niet gerubriceerd zou zijn, had ik dit stuk – uiteraard, zou ik bijna zeggen – bij de volgende kwartaalrapportage wél meegezonden, maar dat lukte dus niet meer met de laatste brief. Ik hoop dat ik hiermee alle ideeën die bij de heer Elissen bestaan over het niet volledig informeren van de Kamer heb kunnen wegnemen.

Staatssecretaris Teeven: Ik begrijp de denkwijze van de heer Elissen, maar de reden dat stukken restreint zijn, heeft te maken met het feit dat landen niet willen dat hun standpunten, die in Brussel in onderhandelingen met elkaar worden gewisseld in ambtelijke werkgroepen, in de volle breedte via internet worden uitgedragen. Dan heb je immers geen mogelijkheid meer om te onderhandelen. Als je er een voorstander van bent dat Nederland uit de Unie treedt, hoef je nooit meer te onderhandelen, maar zo lang we niet uit de Unie zijn getreden, moeten we blijven onderhandelen en zullen die stukken van een restreint zijn voorzien. Dat is natuurlijk de reden dat dit zo gebeurt.

De heer Elissen vroeg in eerste termijn naar de standpunten van de andere landen. Dan zitten we direct met een probleem: ik kan niet ingaan op de standpunten van andere landen. Ik kan wel zeggen wat het standpunt van Nederland is. Ik kan wel melden dat de parlementen van Portugal, Duitsland, Zweden, Spanje en Frankrijk een negatief subsidiariteitsoordeel hebben gegeven over het pakket of delen van het pakket. Voor zover ik weet, zijn dit niet voldoende stemmen om de Commissie te verplichten het onderwerp terug te nemen. Het is dus geen blokkerende minderheid. Er is een parlementair behandelvoorbehoud gemaakt, behalve in Nederland ook in Hongarije, Polen en Tsjechië. Alle lidstaten hebben een algemeen studievoorbehoud gemaakt op het gehele pakket aan voorstellen dat voorligt. Verschillende lidstaten hebben op een paar afzonderlijke artikelen van de verordening een speciaal studievoorbehoud gemaakt. Dat is de stand van zaken. Er is dus een lappendeken van lidstaten die hetzelfde hebben gedaan als wij doen op dit moment.

Staatssecretaris Teeven: Dat is een waardeoordeel, voorzitter, daar kan ik niets over zeggen.

Voorzitter. De heer Elissen wil weten of met de regeling in artikel 5b van de verordening het doelbindingsvereiste genoemd in artikel 6, lid 4, onderuit wordt gehaald. Daar staat namelijk dat gegevens wel mogen worden verwerkt voor doelen die onverenigbaar zijn met het doel waarvoor ze zijn verzameld. Ik heb dit uitgebreid beantwoord in mijn brief van 27 april 2012. Uit tijdsoverwegingen wil ik daarnaar verwijzen. Ik wik het wel allemaal herhalen, maar het staat daar allemaal in extenso in.

De heer Elissen en naar ik meen ook mevrouw Berndsen – je ziet hier een gelijkenis tussen die beide fracties – willen weten waarom ik niet snel kom met een eigen wetsvoorstel betreffende bestuurlijke bevoegdheid, boetebevoegdheid, voor het CBP. Onder de huidige omstandigheden kan ik daar niet veel mee. Ik denk dat dit echt een zaak is voor het volgende kabinet. Ik neem aan dat de leden dit begrijpen. Ik heb al eerder gemeld dat het ver gaat om een boetebevoegdheid die vrij gecompliceerd is zelf te regelen. Dat heeft mede te maken met de open normen en het abstracte karakter van de normen van de Wbp. Dat heeft echt enige tijd nodig; het is niet overmorgen klaar. Het traject in Brussel loopt gewoon door. Ik vind het risico groot dat ik op dit moment dubbel werk ga doen. Ik vind het een groot risico dat, omdat we een nieuw kabinet krijgen en omdat het werk in Brussel doorgaat, we hier allemaal voor niets werk doen en met heel veel mensen heel veel ambtelijke energie erin stoppen. Ik ben daarom op dit moment niet bereid om het meteen ter hand te nemen.

Staatssecretaris Teeven: Dank u wel, voorzitter. Het is geenszins de bedoeling van het kabinet om flauw te doen. Ik zit hier demissionair, dat betekent dat als de Kamer iets wil, er een meerderheid voor moet zijn, zo simpel is het.

Voorzitter. Mevrouw Berndsen wil weten of het niveau van gegevensbescherming van de ontwerpverordening niet aanzienlijk hoger is dan dat van de ontwerprichtlijn. De verordening heeft verplichtingen die de richtlijn niet kent, zoals voorafgaande consultatie van de toezichthouder. Ik moet vaststellen dat de gegevensverwerking met het oog op opsporing en vervolging van strafbare feiten een betrekkelijk nauw omlijnd doel betreft, mevrouw Berndsen zei het al in haar inbreng. Dit is een belangrijk verschil met de ontwerpverordening, die regels geeft voor de verwerking van persoonsgegevens door overheidsinstanties en bedrijven. Die is veel ruimer. De ontwerprichtlijn kent dan ook een strikte doelbinding. De persoonsgegevens mogen in beginsel slechts worden verwerkt voor de opsporing en vervolging van strafbare feiten. Doordat de gegevens niet verwerkt mogen worden op een met die doeleinden onverenigbare wijze wordt er een beperking gesteld aan de verdere verwerking van de persoonsgegevens. Dat is echt iets anders dan wat in die verordening in de volle breedte wordt gedaan.

Mevrouw Berndsen vraagt of er is aangedrongen op afzonderlijke regelingen voor de private en de publieke sector in de verordening. Ik heb daar in mijn brief van 27 juni al iets over medegedeeld. De verordening maakt geen harde scheiding tussen de regels voor de publieke en private sector. Er zijn op sommige onderdelen afwijkende regels voor de publieke sector. Dat acht ik dringend noodzakelijk, omdat de overheid een bijzondere rol vervult in de samenleving, ook als het gaat om de verwerking van persoonsgegevens. Die rol vraagt en vergt dat de overheid gegevens van burgers verwerkt en binnen de overheid ook zelf kan delen. Dat doen we voor specifieke doeleinden op een goede, wettelijke grondslag met allerlei verantwoordingsmechanismen die niet gelden voor de private sector. Ik richt mij er dus op om de nationale beleidsruimte voor de overheid te claimen.

Mevrouw Berndsen wil weten of de VS aan de tekentafel zit in Brussel. Nee, niet in de Raad. Ik kan geen antwoord geven, om de doodeenvoudige reden dat het bij ons niet bekend is, op de vraag of de VS contact heeft met de Commissie. Dat weet ik niet. Wij gaan daar niet over.

Staatssecretaris Teeven: Ik heb er geen indicaties voor. Ik nodig mevrouw Berndsen graag uit om mij die gegevens ter beschikking te stellen, zodat ik dit punt kan opnemen bij de volgende JBZ-vergadering met de Commissaris. Dat is totaal geen probleem, maar dan moet ik wel meer rugnummers hebben. Als ik die heb, ben ik zeker bereid om dat te doen. Die toezegging ligt er. Dan wil ik best aandacht vragen voor dit onderwerp.

Mevrouw Berndsen vraagt wat de inzet van Nederland is geweest op het toestemmingsvereiste. Ik ben positief over het verdwijnen van het bestaande verschil tussen «ondubbelzinnige» en «uitdrukkelijke» toestemming. Ik heb nog wel vragen over de uitwerking van de rechtsgevolgen van het intrekken van de toestemming. Dat wordt nog besproken in de werkgroep van de Raad. Ik heb ook sterke twijfels bij de uitvoerbaarheid van de regel dat toestemming niet geldt waneer er sprake is van een onevenwichtige verhouding tussen verantwoordelijke en betrokkene. Die vragen zijn nog niet beantwoord door de Commissie. We wachten op de beantwoording.

Mevrouw Berndsen vraagt naar mijn standpunt over de sancties in de verordening. Ik ben voorstander van het invoeren van een bestuurlijke boetebevoegdheid voor het CBP. Met het voorstel daarvoor in de verordening ben ik het dan ook in beginsel eens. We zullen wel apart moeten kijken of beoogd is dat er verplicht sancties moeten worden opgelegd of dat het een bevoegdheid is. Ik denk dat dit op wetgevingstechnisch niveau kan worden opgelost. Ik verwacht nog wel discussie over de vraag over het boetemaximum en de vraag of het juiste maximum voor iedere overtreding wel even gerechtvaardigd is. Verder zal ik kijken of er voldoende draagvlak is voor bestuursdwangbevoegdheid in de verordening. Het kan zijn dat dit niet voor iedere EU-lidstaat even vanzelfsprekend zal zijn.

Ik kom op de vragen van mevrouw Van Toorenburg. Zij wil weten of ik vind dat het toestemmingsvereiste in de verordening voldoende is verankerd. Ik denk het wel. Net als in de huidige richtlijn staat toestemming voorop. Over andere rechtvaardigingsgronden heb ik vragen, zoals ik zojuist al zei.

Verder vraagt mevrouw Van Toorenburg of privaatrechtelijk vormgegeven bestuursorganen ook vallen onder de verordening. Dat is zo. Het is duidelijk besproken en ook toegelicht door de Commissie.

Kan het CBP zelf blijven uitmaken welke zaken het aanpakt, wil mevrouw Van Toorenburg weten. Jazeker. Het CBP is onafhankelijk. Regering en parlement moeten dat respecteren. Dat is nu al zo en de regering staat ervoor dat het zo blijft. Het CBP kan zelf blijven uitmaken wat het prioriteert en wat niet.

Mevrouw Van Toorenburg vraagt of verzekeraars medische en strafrechtelijke gegevens niet langer mogen verwerken. Zij kaart hiermee een probleem aan dat door ons nadrukkelijk aan de orde is gesteld in Brussel tijdens de afgelopen werkgroepen. Bij de volgende bijeenkomst, in juli, verwachten we antwoord van de Raadswerkgroep. De Kamer zal daarvan op de hoogte worden gesteld. We zullen de Kamer periodiek steeds op de hoogte houden van dit punt.

Mevrouw Van Toorenburg heeft het punt van de aansprakelijkheid aan de orde gesteld. Ik kom daar in tweede termijn op terug.

De heer Recourt (PvdA): De staatssecretaris vroeg zich eerder af of hij al mijn vragen had beantwoord. Ik heb dat inmiddels nagekeken, ook met het oog op de tweede termijn. Ik had een vraag gesteld over mogelijke compensatie voor slachtoffers van problemen met onrechtmatige privacyschending. Die vraag is nog niet beantwoord.

Op een andere vraag van mij heeft de staatssecretaris gedeeltelijk geantwoord. Dit betreft het «singled out»-principe. Hij ziet dat principe niet zitten omdat je dan gedoe krijgt over wat wel en wat niet. Ik had mijn vraag echter concreet gemaakt naar aanleiding van de Nederlandse zaak van Martijn Koot, die 2,6 miljoen gegevens boven tafel kreeg.

Staatssecretaris Teeven: De vraag over het proefschrift, de zaak van Martijn Koot, zullen we opnemen met BZK. Ik zal de Kamer daarover schriftelijk informeren.

Het punt over schadevergoeding voor slachtoffers is nog niet uitgewerkt in de verordening. Het zal de komende tijd in de onderhandelingen worden meegenomen.

De heer Recourt (PvdA): Voorzitter. Ik maak haast.

Ik gebruik mijn tweede termijn om het over moties te hebben. De motie over de boetebevoegdheid zal ik in stemming brengen, zoals ik al zei.

Collega Elissen heeft eerder moties ingediend die ook zijn aangenomen, bijvoorbeeld op het punt van de doelbinding. Na de discussie met de Kamer begrijp ik de staatssecretaris zo dat hij zegt dat je op incidentele basis dynamisch moet kunnen omgaan met doelbinding. Hij geeft het voorbeeld van terroristische dreiging. Dat snap ik. Maar volgens mij gaat het bij de onderhandelingen een stuk verder en dreigt nu juist de bescherming te worden uitgehold. Dan komen we terecht onder de grens genoemd in de moties van de heer Elissen die door de Kamer zijn aangenomen. Ik blijf grote zorgen hebben over dit punt.

Verder is er een aantal punten aan de orde geweest zoals administratieve lasten, 250 fte's en het «singled out»-principe. In het antwoord hoor ik veel begrip voor grote bedrijven, kosten en weet ik wat, maar uiteindelijk gaat het natuurlijk om de bescherming van de privacy van burgers. Er worden bovendien door diezelfde bedrijven miljarden verdiend met die persoonsgegeven. De regelgeving is er om de bedrijven binnen de perken te houden van wat wij fatsoenlijk vinden. De Europese Commissie zegt dat het geld oplevert, maar zelfs als het geld kost, zou ik zeggen: laten we de belangen goed afwegen en niet te veel begrip voor die grote bedrijven hebben.

Tot slot overweeg ik een VAO aan te vragen voor een extra motie op het punt van de richtlijn, maar daar beraad ik mij nog over.

De heer Van der Steur (VVD): Voorzitter. Ik denk dat we goed op dezelfde lijn zitten. Ik heb goed gehoord dat ook de staatssecretaris van mening is dat we moeten focussen op de risicogerichtheid en dat D66 zich daarbij aansluit. Daar zit de meerwaarde.

Ik heb nog drie punten. Ten eerste. Wil de staatssecretaris meenemen dat de exclusieve bevoegdheid van de landelijke toezichthouders essentieel is en dat het zo moet zijn dat als je bij de ene toezichthouder uitkomt daarmee alle anderen weg zijn? Dat is een belangrijk punt.

Ten tweede. Dit is een fundamenteel punt. Als ik de verordening goed lees, is de bescherming van persoonsgegevens gedefinieerd als hoofdpunt. Andere belangen, bijvoorbeeld de vrijheid van meningsuiting, worden geformuleerd als een soort uitzondering daarop. Kijk bijvoorbeeld naar het vergeetrecht in artikel 17. Voor de VVD-fractie is dit een fundamenteel onjuist uitgangspunt. Die twee zaken staan natuurlijk altijd naast elkaar; de vrijheid van meningsuiting staat op hetzelfde niveau als het recht op bescherming van de persoonsgegevens wat mijn fractie betreft.

Ten derde een heikel punt. We krijgen uit de samenleving veel klachten dat de verordening zoals die nu is geformuleerd het erg moeilijk maakt om de kredietwaardigheid van personen en bedrijven te beoordelen. Voor een groot deel is dat een heel belastende dienstverlening, maar voor een ander deel hebben we er allemaal groot belang bij dat ondernemers en personen geen risico's aangaan die zij niet aankunnen. Wil de staatssecretaris dit aspect meenemen bij de beoordeling van de verordening?

Mijn laatste punt betreft de Nederlandse vertaling van de verordening. Deze is kwalitatief niet voldoende. Dit is een aandachtspunt bij de verdere uitwerking.

De heer Elissen (PVV): Voorzitter. De staatssecretaris zegt dat Nederland gelukkig niet altijd achteraan loopt. Nee, Nederland loopt ook wel eens voorop, dat hebben we gezien met minister Verhagen bij het Acta-verdrag. Ik lees gelukkig net dat dit morgen waarschijnlijk verworpen wordt door het Europees Parlement. Dat gaat dus naar de prullenbak. Dan zien we dus ook dat er soms verdragen worden gemaakt in Brussel met een te laag gegevensbeschermingsniveau. Maar dit terzijde.

Ik wil het nog even hebben over privacy versus veiligheid. Ik krijg het gevoel alsof we hier af en toe langs elkaar heen praten. Het is natuurlijk niet zodat privacy tegenovergesteld is aan veiligheid. Privacy is dus ook niet strijdig met veiligheid. De privacy van een individu kan echter wel op gespannen voet staan met een opsporingsbelang. Waneer je een crimineel opspoort, ontkom je er natuurlijk niet aan om privacyregels aan de kant te schuiven. Dat doe je dan ook terecht, want dergelijke gasten moet je vooral kunnen pakken. We hebben er echter wel spelregels voor afgesproken: strafvordering, rechtshulpverzoeken enzovoort. Er kan dus geen sprake zijn van privacy tegenover veiligheid. Ik vraag de staatssecretaris of hij het eens is met de Partij voor de Vrijheid dat het mogelijk moet zijn om zorg te dragen voor een zo hoog mogelijk niveau van privacybescherming zonder dat het opsporingsbelang wordt geschaad. Volgens mij moet dat namelijk gewoon kunnen.

Mevrouw Berndsen (D66): Voorzitter. De staatssecretaris heeft mij niet gerustgesteld op het punt van de richtlijn. Die staat naar ons idee wel degelijk op ijs. Daar zouden nadere regels voor gesteld moeten worden. Ik denk dat Nederland wat dat betreft met wat meer voortvarendheid moet pleiten voor het maken van die richtlijn.

In mijn eerste termijn ben ik niet toegekomen aan mijn punt over het CBP. Het CBP moet steeds meer taken uitvoeren, bijvoorbeeld toezicht op de meldplicht van datalekken, naast de taken die het nu al heeft, terwijl het budget wordt gekort. Mijn fractie denkt dat dit niet kan. Wil het CBP zijn werk goed kunnen doen, dan dient het ook te kunnen beschikken over een adequate bezetting. Hoe denkt de staatssecretaris dit probleem op te lossen? Er zullen dan strengere keuzes gemaakt moeten worden over welke zaken wel en welke niet kunnen worden opgepakt. Uit het oogpunt van rechtsgelijkheid lijkt mij dit niet goed.

Wij blijven het oneens op het punt van de doelbinding.

Mevrouw Van Toorenburg (CDA): Voorzitter. Wij blijven achter met het gevoel dat we dezelfde punten aan de orde moeten stellen die we al eerder aan de orde hebben gesteld. Wij horen gelukkig ook een staatssecretaris die de zorgen ten aanzien van die 250 werknemer en van een bepaalde invulling van de richtlijn en de verordening deelt. Op die punten mag er wat Nederland betreft echt een tandje bij. We moedigen de staatssecretaris aan om daarmee verder te gaan.

Ik heb nog twee concrete punten. Ten eerste. Omdat er nog zo veel onduidelijk is en het een lang traject blijft, vragen wij de staatssecretaris toch nog een keer waar bedrijven terechtkunnen als zij een serieuze vraag hebben over de bescherming van de privacy en zij die vraag niet betaald mogen voorleggen aan het CBP. Wat kunnen we deze bedrijven bieden, gelet op de ontwikkelingen in Europa, ook al omdat wij veel dingen nog niet weten?

Ten tweede het punt van de actieve toestemming vooraf. Het blijft een enorme handel in persoonsgegevens; er is een markt voor, er zijn bedrijven mee bezig. De heer Recourt wees hier terecht op. Daarbij blijft artikel 7 betreffende de belangenafweging een beetje boven de markt hangen. Ik wil van de staatssecretaris horen hoe hij daar een stevige Nederlandse positie wil innemen.

Staatssecretaris Teeven: Voorzitter. Ik dank de leden voor hun inbreng in tweede termijn.

Ik kom allereerst te spreken over de compensatie. Ik wijs de heer Recourt op artikel 54, lid 2. Daarin wordt bepaald dat wanneer een voor meer dan één verwerking verantwoordelijke verwerker bij de verwerking betrokken is, alle voor de verwerking verantwoordelijken en de verwerkers hoofdelijk gehouden zijn tot volledige vergoeding van de schade. Het recht op compensatie staat er dus in, maar moet nog wel nader en beter worden uitgewerkt. Dit ter verduidelijking van hetgeen de heer Recourt er eerder over zei.

De motie over de boetebevoegdheid die in stemming wordt gebracht, zie ik tegemoet. We zullen er donderdag in de loop van de avond opnieuw met elkaar over spreken. Ook over de doelbinding zullen we dan opnieuw spreken.

Ik heb het betoog van de heer Recourt betreffende de administratieve lasten gehoord. Het was eigenlijke geen vraag.

Staatssecretaris Teeven: Voorzitter. Mevrouw Van Toorenburg heeft gevraagd hoe het zit met de aansprakelijkheid. Ik verwijs naar artikel 4, letter F van de richtlijn, waar staat dat gegevens «moeten worden verwerkt onder verantwoordelijkheid en aansprakelijkheid van de voor de verwerking verantwoordelijke die toeziet op de naleving van de krachtens de richtlijn vastgestelde bepalingen». Daarin is de aansprakelijkheid geregeld.

De heer Van der Steur vraagt of er een expliciete bevoegdheid is van de toezichthouder in een land. Die vraag moet volmondig met «ja» worden beantwoord. Ja, de mensen in één land hebben te maken met één toezichthouder; één toezichthouder is in Nederland verantwoordelijk.

Ook vraagt de heer Van der Steur of gegevensbescherming te veel uitgangspunt is, de hoofdregel versus andere belangen. We moeten niet overdrijven. We moeten natuurlijk vaststellen dat in deze verordening de gegevensbescherming het uitgangspunt is. Dan kun je bezwaarlijk iets anders verwachten dan dat de gegevensbescherming voorop staat. We zullen in de ambtelijke wekgroepen overigens aandacht vragen voor dit punt, want het heeft wel degelijk onze zorg. Ik zie de vraag van de heer Van der Steur dan ook als een aansporing om dit punt in de onderhandelingen mee te nemen.

De heer Van der Steur vraagt of de verordening voldoende ruimte biedt om iemands kredietwaardigheid te beoordelen. Dat betwijfel ik. De verordening moet het gegevensbeschermingsrecht bij de tijd brengen. Daar hoort ook een artikel over profilering bij. Dat is wennen voor overheid en bedrijfsleven. De winstpunten van de bescherming liggen vooral in de transparantie. Bedrijven en overheid moeten dus laten zien wat zij doen. Ik heb overigens niet de indruk dat dit bedrijven de mogelijkheid ontneemt die ze nu hebben. Ook dit punt zal ik echter meenemen inde ambtelijke besprekingen in de Raadswerkgroep.

De heer Van der Steur betwijfelt of er voldoende aandacht wordt besteed aan de Nederlandse tekst van de verordening. Ik denk dat wij ons pas helemaal aan het slot van het onderhandelingsproces zullen buigen over de definitieve Nederlandse tekst. We zullen dan goed contact zoeken met de vertalers in de EU. De leden kunnen daarvan op aan.

De heer Elissen heeft een opmerking over het Acta-verdrag. Hij noemt minister Verhagen heel vriendelijk, maar minister Verhagen en ondergetekende zijn daar steeds samen in opgetrokken, dus ik zie zijn compliment ook als een compliment aan mij, waarvoor dank.

Het andere punt van de heer Elissen betreft privacy en veiligheid. Dat is inderdaad het uitgangspunt van het kabinet. We hebben al eerder over dit onderwerp met elkaar gewisseld. Het ligt ook helemaal in de lijn van mijn voorganger op dit dossier. Het gaat om privacy én veiligheid.

Mevrouw Berndsen spoort mij aan tot meer voortvarendheid. Ik heb al gezegd dat wij voorstander zijn van de richtlijn maar dat andere lidstaten weerstand bieden. Ons standpunt zal op dit vlak niet veranderen.

Mevrouw Berndsen vraagt ook naar de taken en het budget van het CBP. Ik stel vast dat er geen bezuinigingen zijn geweest bij het CBP. Er is wel «minder meer» bij het CBP, om het zo maar te zeggen. De omvang van de organisatie is niet gekrompen. Het CBP is zelfs tot 2008 altijd ontzien in taakstellingen. Het heeft destijds nooit bijgedragen tot de taakstellingen van de Rijksoverheid. Het is mij bekend dat ook het CBP te maken heeft met financiële krapte, maar uit diverse begrotingsrapportages die we hebben ontvangen, blijkt niets van ernstige problemen, ook niet op dit moment, anno 2012. Ik ga er dan ook nog steeds van uit dat het CBP zijn taken kan uitvoeren binnen het huidige budget. Wat betreft nieuwe taken die voortvloeien uit het wetsvoorstel heb ik eerder gezegd dat dit wordt gemonitord en dat er dan uiteraard wél zal worden gekeken of er meer financiële middelen bij moeten.

Staatssecretaris Teeven: Al zou ik besluiten dat het CBP er morgen 1 mln. bij krijgt, dan zaten we nog met de situatie dat het niet alles kan oppakken. Dat zal altijd zo zijn. Ik heb de commissie al eerder gezegd dat ik tegen iets ben aangelopen waarvan ik mij vorige zomer afvroeg of dat de prioriteit moest krijgen van het CBP. Maar dat terzijde, want ik ga niet over de prioriteitstelling van het CBP, zoals de leden weten. Ik heb mij toen echter wel verbaasd over die prioritering.

Mevrouw Van Toorenburg maakt een opmerking over artikel 7, lid 4, de belangenafweging, geen toestemming bij onevenwichtige verhoudingen. Dit blijft op het moment onvoldoende duidelijk. Het is niet helder. Het moet of beter worden ingevuld, bijvoorbeeld in het arbeidsrecht, of artikel 7 lid 4 moet worden geschrapt. Geen van de lidstaten is er nu erg enthousiast over. We moeten het concreter en beter invullen of we moeten het schrappen.

Mevrouw Van Toorenburg maakt een opmerking naar aanleiding van mijn brief over de bedrijven. We hebben de bedrijven en het CBP gepolst over het idee van advies tegen betaling. Noch de bedrijfstak noch het CBP was enthousiast over dit idee. Ze wilden het allebei niet. De bedrijven kunnen die deskundigheid al inkopen bij adviseurs en advocaten, gewoon in de markt. Er zijn mensen in de markt werkzaam die deze deskundigheid bij uitstek hebben, bijvoorbeeld op advocatenkantoren. Ik vond het opvallend dat op het voorstel van mevrouw Van Toorenburg niet warm en enthousiast werd gereageerd.