• Vraag 1

  Klopt het dat het nieuwe artikel 43a van de Europese Dataprotectieverordening vereist dat het vorderen van persoonsgegevens van Europese burgers, door bijvoorbeeld the Federal Trade Commission of belastingdienst, bij een onderneming alleen mogelijk is op grond van een internationale overeenkomst («international agreement»)? Is bij de discussie hierover ook gesproken over de nadelen voor het bedrijfsleven? Kunt u uw antwoord toelichten?
  
  

  Ingevolge artikel 43a van de Algemene verordening gegevensbescherming (AVG) – in de tekstversie van het op 18 december 2015 totstandgekomen politieke overeenstemming tussen Raad en Europees parlement – kan een uitspraak van een rechter of een besluit van een bestuursorgaan van een derde land op grond waarvan een verantwoordelijke in de Europese Unie verplicht is om persoonsgegevens door te geven aan de overheid van dat derde land alleen ten uitvoer worden gelegd in de EU, indien voor die doorgifte een grondslag bestaat in een verdrag tussen de Unie of de lidstaat en dat derde land. Die regel doet echter geen afbreuk aan de bevoegdheid om voor de desbetreffende doorgifte andere rechtsgrondslagen geregeld in Hoofdstuk V van de AVG in te roepen.
  Zo biedt artikel 42, lid 2a, onder b, van de AVG een rechtsgrondslag om passende waarborgen te treffen in «administrative arrangements» die tussen bestuursorganen kunnen worden gesloten indien voorzien moet worden in de doorgifte van persoonsgegevens naar derde landen. Er moet dan wel voorzien zijn in afdwingbare en effectieve rechten voor de betrokkene. Artikel 44, lid 1, onder h, van de AVG biedt de mogelijkheid om indien alle andere grondslagen voor een als incidenteel aan te merken doorgifte niet kunnen worden ingeroepen de gegevens niettemin door te geven. Om daarvan gebruik te kunnen maken moet echter aan een groot aantal voorwaarden zijn voldaan.
  Bij de vormgeving van Hoofdstuk V van de AVG hebben de toenmalige Staatssecretaris van Veiligheid en Justitie en ikzelf voortdurend aandacht besteed aan de positie van bedrijven. Wij hebben dat gedaan omdat wij zoveel mogelijk wilden voorkomen dat bedrijven het slachtoffer worden van conflicterende jurisdicties.
  

• Vraag 2

  In hoeverre kan van (kleinere) ondernemingen worden verwacht dat zij bij een dergelijke vordering onderzoeken of sprake is van een dergelijke international agreement en welke rechten en plichten hieruit voortvloeien? Klopt het dat zij hiervoor standaard een gespecialiseerd jurist moeten inhuren? Kunt u uw antwoord toelichten?
  
  

  In zijn algemeenheid mag van ondernemers worden verwacht dat zij zich op de hoogte stellen van de relevante wetgeving in de landen waar zij hun activiteiten ontplooien. Als de aard van die activiteiten met zich brengt dat ook persoonsgegevens worden verwerkt, zal men ook enige kennis moeten hebben van de gegevensbeschermingswetgeving van de EU en de consequenties die uit die verordening voortvloeien voor het internationale zakelijke verkeer. Daarnaast kan ik mij voorstellen dat als een buitenlandse rechter of een buitenlands bestuursorgaan een vordering tot het doorgeven van persoonsgegevens doet, in die vordering wordt verwezen naar de wettelijke grondslagen waarop de vordering berust. Dat bij de behandeling van de vordering standaard de diensten nodig zijn van een gespecialiseerd jurist kan ik niet zonder meer onderschrijven. Veel zal afhangen van de context van de vordering, de aard en kwantiteit van de gegevens en de identiteit van de betrokkenen.
  

• Vraag 3

  Wat zijn de consequenties voor ondernemingen als zij wegens het ontbreken van een international agreement geen persoonsgegevens mogen overdragen, terwijl het recht van het derde land dat die gegevens vordert stelt dat betreffende ondernemingen wel gehoor moeten geven aan de vordering? Kunnen deze situaties voorkomen? Kunt u uw antwoord toelichten?
  
  

  In mijn antwoord op vraag 1 heb ik aangegeven dat artikel 43a van de AVG geen volledig gesloten stelsel is. Indien er geen grondslag in een verdrag valt aan te wijzen kan voor de gevallen als in vraag 3 bedoeld een beroep op artikel 44, lid 1, onder h, van de AVG worden gedaan. Daarbij moet dan wel worden voldaan aan de voorwaarden die laatstgenoemde bepaling stelt. Juist omdat er zich gevallen voordoen waarbij gegevens worden gevorderd zonder dat sprake is van een verdragsrechtelijke grondslag is deze bepaling in het leven geroepen.
  

• Vraag 4

  Klopt het dat een onderneming, die bijvoorbeeld een vordering van de Verenigde Staten afwijst wegens strijd met EU-recht, het risico loopt gesanctioneerd te worden door de VS in verband met strijdigheid met het Amerikaanse recht? Zo nee, waarom niet? Zo ja, hoe kunnen dergelijke situaties worden voorkomen of opgelost?
  
  

  Het niet voldoen aan een rechtmatig gedane vordering van een rechter of bestuursorgaan tot het doorgeven van gegevens naar dat land heeft in elk land doorgaans consequenties voor de partij tot wie de vordering is gericht. De Verenigde Staten vormen daarop geen uitzondering. Ik meen dat Hoofdstuk V van de AVG voorziet in voldoende rechtsgronden om te voldoen aan rechtmatig gedane vorderingen, zodat verwacht mag worden dat de oplegging van sancties achterwege blijft. Het is doorgaans mogelijk de rechtmatigheid van de vordering te betwisten voor de rechter krachtens het recht van het desbetreffende land.
  

• Vraag 5

  Wat is uw appreciatie van het nieuwe artikel 43a van de Europese Dataprotectieverordening?
  
  

  Ik acht artikel 43a van de AVG, mede tegen de achtergrond van Hoofdstuk V van de AVG in zijn geheel, een bepaling die een voldoende evenwicht waarborgt tussen de belangen van de bescherming van persoonsgegevens en de belangen van de EU, de lidstaten en derde landen.
  

Kamervraag document nummer: kv-tk-2016Z00724

Volledige titel: Overdracht van persoonsgegevens op grond van de Europese Dataprotectieverordening

Kamerantwoord document nummer: ah-tk-20152016-1297

Volledige titel: Antwoord op vragen van het lid Gesthuizen over overdracht van persoonsgegevens op grond van de Europese Dataprotectieverordening