| Ingediend | 21 januari 2020 |
|---|---|
| Beantwoord | 2 maart 2020 (na 41 dagen) |
| Indiener | Kathalijne Buitenweg (GL) |
| Beantwoord door | Sander Dekker (minister zonder portefeuille justitie en veiligheid) (VVD) |
| Onderwerpen | criminaliteit economie ict openbare orde en veiligheid |
| Bron vraag | https://zoek.officielebekendmakingen.nl/kv-tk-2020Z00799.html |
| Bron antwoord | https://zoek.officielebekendmakingen.nl/ah-tk-20192020-1906.html |
Ja
Het rapport schetst een uitgebreid beeld van de handel in data en kaart terecht aan dat het voor burgers vaak zeer lastig is om controle te houden over wat er met hun persoonsgegevens gebeurt, zeker wanneer wet- en regelgeving niet worden nageleefd door de partijen die de gegevens verwerken. Het rapport focust met name op een aantal specifiek onderzochte apps, maar benoemt in brede zin ook dat de handel in data in Europa en daarbuiten wijdverspreid is. Het rapport zet vervolgens vraagtekens bij de kwestie in hoeverre deze grootschalige handel legaal kan zijn.
Ik zie net als de opstellers van het rapport dat er enorme hoeveelheden data worden verhandeld, maar vind het tevens belangrijk dat er per zaak wordt bepaald of de data in kwestie rechtmatig wordt verwerkt. Ik juich het dan ook toe dat dat de Autoriteit Persoonsgegevens (AP) in haar document «Focus AP 2020–2023» datahandel als één van de drie focusgebieden voor de komende jaren aanmerkt.2
Het illegaal verhandelen en verkopen van persoonsgegevens vind ik een zeer kwalijke zaak. Deze handel draait om het creëren van gedetailleerde profielen van individuen door hun gedrag te monitoren. Wanneer er gedetailleerde profielen worden samengesteld die terug te voeren zijn op specifieke individuen kan er een vergroot risico op discriminatie en manipulatie ontstaan. Dit manifesteert zich met name wanneer de transparantie en informatieverplichtingen uit de relevante wetgeving worden geschonden, omdat betrokkenen zich in dat geval niet bewust zijn van het feit dat zij worden geprofileerd. Het is om die reden van groot belang dat de AP, zoals hiervoor aangegeven, datahandel als een focusgebied heeft aangemerkt.
Wanneer betrokkenen wél bekend zijn met de verwerking van hun gegevens hebben zij de mogelijkheid op te treden tegen mogelijke discriminatie of manipulatie door bijvoorbeeld een klacht in te dienen bij de toezichthouder.
Het is in dit kader van belang om onderscheid te maken tussen enerzijds het doorgeven van gegevens en anderzijds het doorverkopen van gegevens.
Bij het doorgeven van persoonsgegevens is het afhankelijk van de specifieke situatie of het doorgeven van gegevens rechtmatig is. Het doorgeven van gegevens is een «verwerking» in de zin van de AVG en mag in ieder geval nooit zonder grondslag. De AVG biedt zes grondslagen waarop een verwerking van persoonsgegevens rechtmatig kan zijn. Het is afhankelijk van de specifieke situatie welke grondslag van toepassing is en of de verwerkingsverantwoordelijke voldoet aan alle eisen om de verwerking rechtmatig te laten zijn.
Voor de doorverkoop van persoonsgegevens ligt dit anders. Recent heeft de AP haar normuitleg over de rechtsgrond «gerechtvaardigd belang» gepubliceerd.3 Hierin overweegt de AP onder meer dat bijvoorbeeld het enkel dienen van zuiver commerciële belangen of winstmaximalisatie geen «gerechtvaardigd belangen» van de verwerkingsverantwoordelijke kunnen zijn in de zin van artikel 6 AVG. Dit brengt met zich mee dat de doorverkoop van persoonsgegevens in beginsel alleen rechtmatig kan zijn wanneer de betrokkene hier toestemming voor heeft gegeven.
De AVG en de UAVG bieden voldoende handvatten om onrechtmatige handel in persoonsgegevens te bestrijden. De opstellers van het rapport betogen dat de onderzochte activiteiten veelal niet in overeenstemming zijn met de bestaande normen. Dit duidt er tevens op dat er voldoende normen zijn die de handel in persoonsgegevens reguleren, en dus om ongewenste handel in persoonsgegevens te bestrijden. Verder wil ik u er graag op wijzen dat de handel in gegevens in sommige gevallen ook wordt geraakt door de normen uit de Telecommunicatiewet. Het is dan ook goed om te vernemen dat de AP samenwerkt met haar collega toezichthouders om de onrechtmatige handel in data tegen te gaan.4
Het begrip «persoonsgegeven» wordt in de jurisprudentie breed ingevuld. Het omvat alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Het is logischerwijs niet mogelijk om naar eigen inzicht van deze definitie af te wijken. Of dit al dan niet een overtreding van de AVG of UAVG betreft, is aan de bevoegde toezichthouder.
De AP heeft mij desgevraagd laten weten dat er inmiddels verschillende onderzoeken lopen op dit terrein. Deze onderzoeken kunnen mogelijk leiden tot handhaving. Gelet op een effectieve uitoefening van de toezichtstaken van de AP kan ik u geen concretere informatie geven over de hoeveelheid onderzoeken of handhavingstrajecten. De AP heeft op dit moment nog geen boetes of andere sancties voor het illegaal delen van persoonsgegevens gepubliceerd. Verder wil ik u er nogmaals op wijzen dat datahandel centraal staat in de strategie van de AP voor de komende jaren (Focus 2020–2023).4
Zie de beantwoording vraag 7.
De oproep van de Consumentenbond om meer te doen tegen de illegale handel in data is zeer begrijpelijk. Ik juich het dan ook toe dat de AP zich hier de komende jaren specifiek op zal gaan richten.
In het rapport wordt verder aanbevolen om voldoende waarborgen op te nemen in de E-Privacy verordening, waarover in Brussel wordt onderhandeld. Zelf zal ik mij in samenwerking met de Staatssecretaris van Economische Zaken en Klimaat in blijven zetten voor een E-Privacy verordening die burgers voldoende bescherming biedt.
Verder steun ik de oproep die de Noorse consumentenbond doet aan de verschillende toezichthouders op de naleving van het gegevensbeschermingsrecht, maar ook op consumenten- en mededingingsrecht, om waar nodig gezamenlijk op te treden tegen illegale datahandel.
Hierbij deel ik u mede dat de schriftelijke vragen van het lid Buitenweg (GroenLinks), van uw Kamer aan de Minister voor Rechtsbescherming over het bericht dat de Consumentenbond de noodklok luidt om illegale datahandel (ingezonden 21 januari 2020) niet binnen de gebruikelijke termijn kunnen worden beantwoord, aangezien nog niet alle benodigde informatie is ontvangen. Ik streef ernaar de vragen zo spoedig mogelijk te beantwoorden.