Hieronder zijn opgenomen het advies van de Afdeling advisering van de Raad van State d.d. 14 juni 2023 en het nader rapport d.d. 6 september 2023, aangeboden aan de Koning door de Minister van Justitie en Veiligheid. Het advies van de Afdeling advisering van de Raad van State is cursief afgedrukt.
Blijkens de mededeling van de Directeur van Uw kabinet van 28 maart 2023, nr. 2021001439, machtigde Uwe Majesteit de Afdeling advisering van de Raad van State haar advies inzake de nota van wijziging bij het wetsvoorstel houdende regels ten behoeve van de verwerking van persoonsgegevens in het kader van de coördinatie en analyse in verband met terrorismebestrijding en bescherming van de nationale veiligheid door het versterken van de weerbaarheid van de samenleving (Wet verwerking persoonsgegevens coördinatie en analyse terrorismebestrijding en nationale veiligheid) rechtstreeks aan mij te doen toekomen. Dit advies, gedateerd 14 juni 2023, nr. W16.23.00076/II, bied ik U hierbij aan.
De tekst van het advies treft u hieronder cursief aan, voorzien van mijn reactie.
Bij Kabinetsmissive van 28 maart 2023, no. 2021001439, heeft Uwe Majesteit, op voordracht van de Minister van Justitie en Veiligheid, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt de nota van wijziging bij het voorstel van wet houdende regels ten behoeve van de verwerking van persoonsgegevens in het kader van de coördinatie en analyse in verband met terrorismebestrijding en bescherming van de nationale veiligheid door het versterken van de weerbaarheid van de samenleving (Wet verwerking persoonsgegevens coördinatie en analyse terrorismebestrijding en nationale veiligheid), met toelichting.
De nota van wijziging voorziet in een aanpassing van het voorstel voor de wet verwerking persoonsgegevens coördinatie en analyse terrorismebestrijding en nationale veiligheid. De analysetaak van de Nationaal Coördinator Terrorisme en Veiligheid (NCTV) die in het wetsvoorstel was opgenomen, wordt met deze nota van wijziging geschrapt. Het verrichten van analyses en het daarbij verwerken van persoonsgegevens is alleen mogelijk als dat noodzakelijk is voor de uitvoering van de coördinatietaak van de NCTV. De nota van wijziging beoogt daarnaast de mogelijkheden tot verstrekking van persoonsgegevens aan andere instanties in te perken en de controle op de naleving van de regels in het wetsvoorstel te versterken.
De Afdeling advisering van de Raad van State adviseert nader te concretiseren hoe de verwerking van persoonsgegevens bij de NCTV vorm zal krijgen, in het bijzonder in het licht van de beginselen van noodzakelijkheid en subsidiariteit. De voorgestelde bepaling over de verstrekking van gegevens bevat daarnaast een afbakening die niet nader is toegelicht en waarvan de Afdeling zich afvraagt of deze passend is. Tot slot adviseert de Afdeling de voorgestelde bepaling over het toezicht op de naleving van het wetsvoorstel te schrappen en in plaats daarvan in de toelichting te concretiseren hoe het toezicht in de praktijk op passende wijze kan worden vormgegeven.
In het licht van deze opmerkingen is aanpassing wenselijk van de toelichting en zo nodig van de nota van wijziging.
In november 2021 is bij de Tweede Kamer het wetsvoorstel verwerking persoonsgegevens coördinatie en analyse terrorismebestrijding en nationale veiligheid ingediend. Het wetsvoorstel beoogde twee bestaande taken van de Minister van Justitie en Veiligheid (JenV) wettelijk te verankeren: de coördinatietaak en de analysetaak. Het gaat om taken die in de praktijk door de NCTV worden uitgevoerd. De voornaamste reden om deze taken wettelijk te verankeren is dat bij de uitoefening daarvan (bijzondere) persoonsgegevens worden verwerkt, waarvoor een wettelijke grondslag nodig is. Tijdens een debat in de Tweede Kamer over de werkwijze van de NCTV werden verschillende moties aangenomen, waaronder de oproep om te bewerkstelligen dat de NCTV niet langer zelfstandig onderzoek doet naar of informatie verzamelt over personen of organisaties.1
De nota van wijziging is een reactie hierop. Het uitgangspunt van de nota van wijziging is om terug te keren naar de kerntaak van de NCTV, namelijk het coördineren van beleid en maatregelen in het kader van terrorismebestrijding en de bescherming van de nationale veiligheid. Daartoe wordt de analysetaak geschrapt. De NCTV blijft wel bevoegd om in verband met de coördinatietaak analyses uit te voeren en daarbij persoonsgegevens te verwerken.2 Verder wordt geregeld dat het de NCTV niet is toegestaan analyses te verstrekken waarin personen vanwege hun uitingen in verband worden gebracht met een trend of een fenomeen.3
Daarnaast beoogt de nota van wijziging de controle op de naleving van de regels van het wetsvoorstel te versterken. Er zal een functionaris gegevensbescherming worden benoemd die binnen de NCTV wordt belast met toezicht op de naleving van de Algemene Verordening Gegevensbescherming (AVG).4 Tot slot is vastgelegd dat de Minister de uitvoering van de wet zal laten toetsen, waarbij de resultaten van deze toetsing aan de Staten-Generaal worden gezonden.5
De bevoegdheid van de NCTV tot het analyseren van (persoons)gegevens is met de nota van wijziging niet langer een op zichzelf staand doel. De analyse van trends en fenomenen dient plaats te vinden in verband met de coördinatietaak. De NCTV bundelt inlichtingen, analyses en informatie van ketenpartners (zoals de AIVD, Nationale Politie, wetenschappers en overige ministeries) en vult deze aan met eigen expertise, aldus de toelichting. De eigen expertise omvat onder meer het raadplegen van open (online) bronnen waar discussies plaatsvinden, zonder dat sprake is van een onderzoek gericht op personen en organisaties.6 De verwerking van persoonsgegevens door de NCTV is noodzakelijk voor de uitvoering van de coördinatietaak. Ook dient deze waar mogelijk gepseudonimiseerd plaats te vinden.7 Deze begrenzing van de analysebevoegdheid in zijn algemeenheid, en van de verwerking van persoonsgegevens in het bijzonder, vergt een nieuwe werkwijze die in werkprocessen verankerd dient te worden, zo vermeldt de toelichting.8
Als het gaat om de aanpassing van de werkwijze verdient in het bijzonder het door de NCTV zelf signaleren en duiden van trends en fenomenen in de samenleving door middel van de monitoring van sociale media aandacht.9 De toelichting legt niet uit in welke situaties het voor de coördinatietaak noodzakelijk kan zijn dat de NCTV dit doet. Voor een beter begrip van de praktische betekenis van de begrenzing van de analysebevoegdheid is dit wel nodig.
De Afdeling wijst er in dat verband op dat de door de regering beoogde wijziging (alleen analyse in verband met de coördinatietaak) impliceert dat of en zo ja, op welke wijze de NCTV zelf informatie mag verzamelen afhangt van de situatie. Indien voor een door de NCTV op te stellen rapportage of dreigingsbeeld meer informatie nodig is dan die ketenpartners kunnen aanleveren, dan kan, zo begrijpt de Afdeling de voorgestelde wijziging, het aangewezen zijn dat de NCTV zelf open (online) bronnen onderzoekt en daarbij persoonsgegevens verwerkt. Indien deze ketenpartners al wel dit open (online) bronnenonderzoek hebben verricht naar trends en fenomenen in de samenleving en in hun analyses inzicht (kunnen) geven in hun bevindingen, dan ligt een aanvullend onderzoek door de NCTV, mede vanuit de beginselen van proportionaliteit en subsidiariteit echter minder in de rede.
De Afdeling adviseert gelet op het voorgaande de toelichting te verduidelijken.
Ad 2. Analysebevoegdheid en verwerking van persoonsgegevens
De regering onderschrijft dat het schrappen van de analysetaak als zelfstandige taak ook gevolgen heeft voor de mogelijkheden om publiek toegankelijke (online) bronnen te kunnen raadplegen, waaronder social media. Daarbij richt de regering zich bij de nadere toelichting op de mogelijkheden tot het verwerken van persoonsgegevens afkomstig van social media en niet de overige bronnen zoals krantenartikelen en literatuur die ook onder deze noemer vallen.
Aan dit onderdeel van het advies is gevolg gegeven door in de toelichting op de nota van wijziging nader uiteen te zetten in welke situaties de raadpleging van en in voorkomend geval het opslaan van gegevens, waaronder persoonsgegevens, afkomstig van social media noodzakelijk kan zijn met het oog op de coördinatietaak. Dit kan zich bijvoorbeeld voordoen indien er sprake is van een incident of gebeurtenis en de vraag zich voordoet of en zo ja in welke mate coördinatie noodzakelijk is, maar ook berichtgeving in de media of vragen vanuit de Kamer kunnen een aanleiding vormen. Daarnaast kan er sprake zijn van een noodzaak tot analysewerkzaamheden met het oog op het richting kunnen geven aan de coördinatie van het optreden van andere overheidsinstanties met betrekking tot een bepaalde trend of fenomeen. Uiteraard komt daarbij de vraag aan de orde of de daarvoor benodigde gegevens niet al aanwezig zijn in analyses van ketenpartners. De NCTV werkt als coördinator dan ook nauw samen met ketenpartners. Het voorgaande is dan ook nader toegelicht bij de nota van wijziging.
Verstrekking van gegevens, waaronder persoonsgegevens, door de NCTV kan plaatsvinden als dat noodzakelijk is voor de uitvoering van de coördinatietaak.10 De nota van wijziging voorziet in een limitatieve opsomming van ontvangende instanties.11 De verstrekking mag daarnaast volgens het voorstel niet zien op «een duiding van de uiting van een persoon waardoor die persoon in verband wordt gebracht met een trend of fenomeen».12 De toelichting legt uit dat het geen taak is van de NCTV om antwoord te geven op de vraag of een persoon aangemerkt kan worden als passend binnen een trend of fenomeen zoals jihadisme. Bij vragen van andere overheidsinstanties over uitingen van een persoon zal de NCTV doorverwijzen naar AIVD of politie, aldus de toelichting.13
De Afdeling maakt over dit onderdeel van het voorstel de volgende opmerkingen.
Uit de toelichting blijkt niet waarom enkel wordt uitgesloten dat een duiding van de uiting van een persoon wordt verstrekt waarmee die persoon in verband wordt gebracht met een trend of fenomeen. De Afdeling kan zich voorstellen dat ook bij andere gedragingen dan uitingen een dergelijke duiding kan plaatsvinden. Niet duidelijk is in hoeverre de NCTV in die gevallen wel tot een verstrekking mag overgaan. De wettekst en de toelichting omschrijven niet wat in het voorstel precies moet worden verstaan onder een «uiting». De Afdeling adviseert de toelichting op dit punt aan te vullen en zo nodig de voorgestelde bepaling aan te passen.
De toelichting is daarnaast summier waar het gaat om situaties wanneer het wel noodzakelijk kan zijn voor de NCTV om in het kader van zijn coördinatietaak persoonsgegevens te verstrekken en wanneer het niet mogelijk is persoonsgegevens te anonimiseren of te pseudonimiseren. De Afdeling adviseert dit in de toelichting nader te concretiseren en voorbeelden te geven van verstrekkingen van persoonsgegevens die de NCTV op grond van deze bepaling zal verrichten.
Ad 3. Verstrekking van persoonsgegevens
De Afdeling merkt op dat uit de toelichting niet blijkt waarom enkel wordt uitgesloten dat een duiding van de uiting van een persoon wordt verstrekt waarmee die persoon in verband wordt gebracht met een trend of fenomeen. Zij vraagt om de toelichting op dit punt aan te vullen en zo nodig de voorgestelde bepaling aan te passen. Dit onderdeel van het advies is overgenomen door in de toelichting te verduidelijken dat onder uitingen worden verstaan alle vormen van gedragingen en uitspraken die wijzen op een bepaald gedachtegoed. De achterliggende gedachte van de norm is uit te sluiten dat een analyse van de NCTV er de oorzaak van is dat een persoon in verband wordt gebracht met een trend of fenomeen.
De opmerkingen van de Afdeling over de noodzaak tot verstrekking van persoonsgegevens en de rol van anonimiseren en pseudonimiseren hebben ertoe geleid dat in de toelichting nader uiteen is gezet wanneer er sprake is van persoonsgegevens en wat de mogelijkheden maar ook onmogelijkheden zijn ten aanzien van anonimiseren en pseudonimiseren. Daarbij is tevens uitgelegd in welke situaties het verstrekken van persoonsgegevens noodzakelijk kan zijn en wanneer het op gepseudonimiseerde wijze verstrekken van persoonsgegevens niet mogelijk is. Het niet op gepseudonimiseerde wijze verstrekken van persoonsgegevens kan bijvoorbeeld voorkomen omdat de overheidsorganisatie aan wie de persoonsgegevens worden verstrekt een taak heeft ten aanzien van die persoon, die niet kan worden uitgevoerd als niet duidelijk is om welke persoon het gaat. Een voorbeeld betreft een terugkerende Syriëganger die overgedragen dient te worden voor vervolging.
De nota van wijziging beoogt te voorzien in aanvullende waarborgen ter versterking van de controle op de werkzaamheden van de NCTV. Naast het benoemen van een functionaris gegevensbescherming,14 dient de Minister de wijze waarop uitvoering wordt gegeven aan zijn wettelijke taken te laten toetsen. De rapportage van de resultaten van deze toetsing wordt aan de Staten-Generaal gezonden.15 De toelichting legt uit dat de Autoriteit Persoonsgegevens (AP) zal toezien op de verwerking van persoonsgegevens en de Inspectie Justitie en Veiligheid (JenV) op de naleving van de andere normen in het wetsvoorstel.16
De Afdeling merkt op dat de NCTV reeds valt onder het toezicht door de AP en de Inspectie JenV. De AP is op grond van de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG) bevoegd om toezicht uit te oefenen op de gegevensverwerking door de NCTV.17 De Inspectie JenV is op basis van het Organisatiebesluit JenV belast met het houden van toezicht op de uitvoering en de naleving van wet- en regelgeving op het terrein van het Ministerie van JenV, waaronder de NCTV.18 In de praktijk worden veel van de rapportages van beide instanties aan de Tweede Kamer toegezonden.
De toelichting legt niet uit wat daarmee de toegevoegde waarde is van de voorgestelde wettelijke bepaling. Gelet op de bestaande bevoegdheden van de toezichthouders, ligt het niet in de rede om voor het toezicht op de NCTV een aparte wettelijke regeling te creëren. Hiermee lijkt bovendien voor wat betreft de Inspectie JenV vooruit te worden gelopen op het wetsvoorstel op de rijksinspecties. Dit wetsvoorstel is momenteel in voorbereiding. Het streven is hierin te voorzien in een wettelijk verankering van de taakuitoefening en werkwijze van rijksinspecties.19
De Afdeling heeft wel begrip voor de gedachte dat voorzieningen moeten worden getroffen om het toezicht effectief te laten functioneren. In haar eerdere advies over het wetsvoorstel wees zij daarom op het belang dat het toezicht in de praktijk passend wordt vormgegeven. In dat licht bezien dient de toelichting te verduidelijken wat dit betekent voor de noodzakelijke capaciteit, expertise en de frequentie van toezicht.20 Dat geldt ook voor de gewenste afstemming tussen de AP en de Inspectie JenV.
De Afdeling adviseert voorgesteld artikel 5a te schrappen en in de toelichting tot uitdrukking te brengen hoe de Minister er in de praktijk voor zal zorgen dat het toezicht en de rapportage hierover op een passende wijze kan plaatsvinden.
Ad 4. Toetsing en rapportage
Net als in het advies van de Afdeling op het oorspronkelijke wetsvoorstel, bevestigt de Afdeling dat de verwerking van persoonsgegevens door de NCTV rechtstreeks onder de AVG valt en dat op grond van de UAVG de AP tot taak heeft op deze verwerking toezicht te houden. Daarnaast merkt de Afdeling op, zo leest de regering, dat de NCTV onder het toezicht van de Inspectie Justitie en Veiligheid (IJenV) valt omdat de IJenV op basis van het Organisatiebesluit Justitie en Veiligheid is belast is met het houden van toezicht op de uitvoering en de naleving van wet- en regelgeving op het terrein van het Ministerie van JenV.
De Afdeling adviseert dan ook het voorgestelde artikel 5a te schrappen omdat niet duidelijk is wat de toegevoegde waarde is, en in de toelichting in te gaan op de wijze waarop in de praktijk het toezicht en de rapportage hierover door de IJenV op een passende wijze kan plaatsvinden. Daarnaast wijst de Afdeling erop dat het wenselijk is dat er afstemming tussen de AP en de IJenV plaatsvindt.
De regering begrijpt het advies zo dat zodra het wetsvoorstel tot wet wordt verheven en inwerking treedt de hierin vastgelegde taak van de NCTV op grond van het Organisatiebesluit JenV onder het toezicht van de IJenV valt, en dat daarmee het voorgestelde artikel 5a feitelijk overbodig is. De regering onderschrijft deze uitleg in juridische zin, maar ziet niettemin aanleiding om het artikel waaraan de Afdeling refereert te behouden vanwege de wens om de versteviging van het toezicht ook in de tekst van de wet zelf gereflecteerd te zien, in lijn met het debat dat werd gevoerd in de Tweede Kamer op 2 juni 2022 over de werkwijze van de NCTV. In navolging van het advies van de Afdeling is de toelichting aangevuld op welke wijze wordt bijgedragen aan het waarborgen dat in de praktijk het toezicht en de rapportage op een passende wijze kan plaatsvinden. Dit met inachtneming van het feit dat de invulling van het toezicht door de IJenV een aangelegenheid is van de IJenV zelf. Ook voor de gewenste afstemming tussen de IJenV en de AP is aandacht gevraagd in de toelichting, met dien verstande dat het aan de IJenV en de AP is om hier nadere invulling aan te geven. Voor de volledigheid wordt nog opgemerkt dat het voorgestelde artikel 5a geen betrekking heeft op het toezicht van de AP op de verwerking van persoonsgegevens door de NCTV. Het toezicht van de AP vloeit immers rechtstreeks voort uit de AVG en de UAVG.
Van de gelegenheid is gebruik gemaakt om een nadere specificering aan te brengen van de in het wetsvoorstel opgenomen bewaartermijnen, waardoor de meest privacygevoelige persoonsgegevens het snelst worden verwijderd. Dit is geregeld door vast te leggen dat binnen een jaar na het opslaan van gegevens afkomstig van social media de aanwezige persoonsgegevens geschift dienen te worden door deze ofwel te vernietigen, ofwel te pseudonimiseren, ofwel te behouden. Na deze eerste schifting dienen uiterlijk binnen vijf jaar de nog resterende persoonsgegevens vernietigd te worden. Hierop zijn slechts twee uitzonderingen mogelijk. De eerste uitzondering betreft persoonsgegevens opgenomen in berichtgeving die voor het signaleren, analyseren en duiden van trends en fenomenen ook op langere termijn nog noodzakelijk zijn om te behouden, terwijl de inbreuk op de persoonlijke levenssfeer van betrokkene beperkt is. Het gaat feitelijk om personen die onlosmakelijk zijn verbonden met een trend of fenomeen, waarbij de inbreuk op de persoonlijke levenssfeer van betrokkene beperkt is door het openbare karakter van de berichtgeving. Voor deze uitzondering geldt dat de bewaartermijn na advies van de functionaris voor gegevensbescherming telkens met vijf jaar kan worden verlengd. De tweede uitzondering betreft persoonsgegevens die op het moment van aflopen van de bewaartermijn onderwerp zijn van een inzageverzoek of lopende rechtszaak. Voor het doel om deze procedures af te wikkelen, kunnen deze persoonsgegevens bewaard worden.
De Afdeling advisering van de Raad van State heeft een aantal opmerkingen bij de nota van wijziging en adviseert daarmee rekening te houden voordat deze bij de Tweede Kamer der Staten-Generaal wordt ingediend.
De vice-president van de Raad van State,
Th.C. de Graaf
Ik verzoek U in te stemmen met toezending van de gewijzigde nota van wijziging en gewijzigde toelichting aan de Tweede Kamer der Staten-Generaal.
De Minister van Justitie en Veiligheid, D. Yeşilgöz-Zegerius