| Ingediend | 7 mei 2025 |
|---|---|
| Beantwoord | 25 juni 2025 (na 49 dagen) |
| Indiener | Ismail El Abassi (DENK) |
| Beantwoord door | David van Weel (minister , minister ) |
| Onderwerpen | burgerlijk recht internationaal organisatie en beleid recht |
| Bron vraag | https://zoek.officielebekendmakingen.nl/kv-tk-2025Z08787.html |
| Bron antwoord | https://zoek.officielebekendmakingen.nl/ah-tk-20242025-2545.html |
Ja.
De Algemene verordening gegevensbescherming (AVG) bepaalt dat doorgifte van persoonsgegevens aan derde landen, waaronder Israël, alleen onder bepaalde voorwaarden is toegestaan.2 Doorgifte van persoonsgegevens zonder aanvullende waarborgen naar een derde land mag plaatsvinden als de Europese Commissie (EC), in een zogenoemd adequaatheidsbesluit, heeft besloten dat dit derde land voor doorgifte van persoonsgegevens een passend en met EU wetgeving vergelijkbaar beschermingsniveau biedt.3 De Europese Commissie heeft op 31 januari 2011, op grond van artikel 25, zesde lid, van de destijds geldende gegevensbeschermingsrichtlijn 95/46/EG, een adequaatheidsbesluit genomen voor Israël.4 In dit besluit werd geoordeeld dat Israël een passend beschermingsniveau biedt voor doorgifte van persoonsgegevens die vanuit de Europese Unie worden doorgegeven naar Israël.5 Met het in werking treden van de AVG op 25 mei 2018 bleven de adequaatheidsbesluiten die op grond van de richtlijn waren vastgesteld, waaronder het adequaatheidsbesluit voor Israël, van kracht. De AVG verduidelijkt dat adequaatheidsbesluiten levende instrumenten zijn, en dat de Commissie doorlopend toezicht dient te houden op ontwikkelingen in derde landen die mogelijk gevolgen hebben voor het functioneren van bestaande adequaatheidsbesluiten.6
Artikel 97 AVG vereist daarnaast dat de Commissie deze besluiten om de vier jaar evalueert om te bepalen of de landen en gebieden waarvoor een passend beschermingsniveau is vastgesteld nog steeds een passend beschermingsniveau voor persoonsgegevens bieden.7 De Europese Commissie heeft op 15 januari 2024 haar eerste evaluatie afgerond van 11 adequaatheidsbesluiten die onder de gegevensbeschermingsrichtlijn (95/46/EG) waren genomen, waaronder ook het adequaatheidsbesluit voor Israël.
In het verslag van de Commissie aan het Europees parlement en de Raad is vastgesteld dat Israël een passend niveau van gegevensbescherming blijft waarborgen, en dat er voor de doorgifte van gegevens naar Israël geen aanvullende waarborgen nodig zijn. Op grond van artikel 45, vierde lid, AVG, dient de Commissie doorlopend toezicht te houden op ontwikkelingen in derde landen die mogelijk gevolgen hebben voor het functioneren van een adequaatheidsbesluit.8 In het antwoord op vraag 6 ga ik nader in op de bevoegdheden die de Commissie terzake heeft.9
De Europese Commissie beperkt in het adequaatheidsbesluit niet expliciet de soorten persoonsgegevens die mogen worden doorgegeven. Onder het adequaatheidsbesluit kunnen dus in beginsel alle persoonsgegevens worden gedeeld met Israëlische partijen. Artikel 30 AVG schrijft voor dat de Europese verwerkingsverantwoordelijke en in voorkomend geval de vertegenwoordiger van de verwerkingsverantwoordelijke, een register bijhoudt van de verwerkingsactiviteit die onder hun verantwoordelijkheid plaatsvindt. Het register dient onder meer een beschrijving te bevatten van de categorieën van betrokkenen en de categorieën persoonsgegevens, en de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, onder meer ontvangers in derde landen of internationale organisaties.10 Het valt onder de verantwoordingsplicht in de AVG, dat individuele verwerkingsverantwoordelijken zelf kunnen aantonen dat zij voldoen aan de AVG.11 Het is aan de Autoriteit Persoonsgegevens als onafhankelijke toezichthouder om te beoordelen of organisaties handelen in overeenstemming met de AVG, en om op te treden indien dit niet het geval is.
Het bijhouden of, en zo ja welke, soorten persoonsgegevens Nederlandse bedrijven of organisaties doorgeven aan Israëlische partijen, is – zo dat al doenlijk is – geen taak van het kabinet.
Zoals ik schreef in het antwoord op vraag 2, waarborgt Israël naar het oordeel van de Europese Commissie een niveau van persoonsgegevensbescherming dat vergelijkbaar is met het niveau dat in de EU wordt verzekerd.12 In dit kader is vorig jaar bij de evaluatie van het adequaatheidsbesluit gekeken naar de privacybescherming in Israël, het onafhankelijk toezicht daarop en de toegang tot het recht.13
De toepassing van de rechtsnormen voor gegevensbescherming in Israël wordt, blijkens het adequaatheidsbesluit voor Israël, gewaarborgd door bestuurlijke rechtsmiddelen en toezicht door een toezichthoudende autoriteit.14 De Israëlische privacytoezichthouder, de Privacy Protection Authority (PPA) heeft (zoals ook in de evaluatie van het adequaatheidsbesluit wordt vastgesteld15) de bevoegdheid om onderzoek te verrichten en in te grijpen, en treedt onafhankelijk op.16
Op grond van artikel 45 AVG komt de bevoegdheid tot het nemen van de genoemde beslissing de Europese Commissie toe. Op grond van artikel 45, vierde lid, AVG, houdt de Commissie doorlopend toezicht op ontwikkelingen in derde landen die mogelijk gevolgen hebben voor het functioneren van een adequaatheidsbesluit.18 Op grond van het vijfde lid gaat de Commissie, indien na toetsing blijkt dat een derde land niet langer over een passend beschermingsniveau beschikt, bij uitvoeringshandeling over tot het intrekken, wijzigen of schorsen van een adequaatheidsbesluit.19 Zij betrekt daarbij de zienswijzen van de lidstaten maar ook die van (internationale) organisaties. De Europese Commissie heeft in de evaluatie, en ook nadien naar aanleiding van vragen van het Europees parlement,20 benadrukt de revelante ontwikkelingen in Israël nauwlettend te volgen. In het geval ontwikkelingen in een land of gebied met een passend beschermingsniveau een negatieve invloed zouden hebben op het vastgestelde beschermingsniveau, kan de Europese Commissie gebruik maken van haar bevoegdheden op grond van artikel 45, lid 5, AVG om een adequaatheidsbesluit op te schorten, te wijzigen of in te trekken.
Onder het adequaatheidsbesluit kunnen persoonsgegevens vanuit de Europese Unie aan Israëlische organisaties worden doorgegeven, omdat een met EU recht vergelijkbaar niveau van rechtsbescherming geldt.
Daartoe zie ik geen aanleiding. Het nemen van een adequaatheidsbesluit op grond van artikel 45 AVG is een bevoegdheid van de Europese Commissie. Dat wil niet zeggen dat de verschillende lidstaten hierover niets in te brengen hebben; zij hebben bij de voorbereiding van zo’n besluit een adviserende rol via de op artikel 93 AVG gebaseerde comitéprocedure.21
Zoals hiervoor beschreven, is het bestaande EU-adequaatheidsbesluit voor Israël op 15 januari 2024 positief geëvalueerd door de Europese Commissie èn heeft de Europese Commissie de bevoegdheid het besluit op te schorten of in te trekken. Nederland volgt de ontwikkelingen nauwlettend.
De AVG verplicht verwerkingsverantwoordelijken reeds om betrokkenen te informeren bij het voornemen persoonsgegevens door te geven aan een derde land of een internationale organisatie.22 Ook hebben betrokkenen al het recht om onder bepaalde voorwaarden bezwaar te maken tegen die verwerking, zoals vastgelegd in artikel 21 AVG. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de AVG, en dient naleving van de AVG aan te kunnen tonen. Het is aan de Autoriteit Persoonsgegevens, als onafhankelijke toezichthouder, om toe te zien op de naleving van de AVG en waar nodig handhavend op te treden.
Deze vereisten uit de AVG gelden, op grond van artikel 3, tweede lid, AVG, ook onder bepaalde voorwaarden voor organisaties buiten de EU die persoonsgegevens van in de EU verblijvende betrokkenen verwerken. De AVG heeft daarmee een extra territoriale werkingssfeer. Artikel 27, eerste lid, AVG, bepaalt tevens dat de verwerkingsverantwoordelijke zoals hiervoor genoemd, schriftelijk een vertegenwoordiger in de Europese Unie dient aan te wijzen. Om te waarborgen dat de verordening wordt nageleefd, wordt de vertegenwoordiger gemachtigd door de verwerkingsverantwoordelijke of de verwerker, om naast hem of in zijn plaats te worden benaderd in verband met de verwerking van persoonsgegevens, in het bijzonder door toezichthouders, Een betrokkene in Nederland kan, op grond van artikel 77 AVG, een klacht indienen bij de Autoriteit Persoonsgegevens.
De vraag suggereert dat sprake is van een spanningsveld waarin (door de Europese Commissie) een keuze is gemaakt voor het een ten koste van het ander. Dat is evenwel niet het geval. Zoals ik schreef in het antwoord op de vragen 2 en 4, waarborgt Israël naar het oordeel van de Europese Commissie een niveau van persoonsgegevensbescherming dat vergelijkbaar is met het niveau dat in de EU wordt verzekerd. Er is dus geen sprake van dat het grondrecht wordt geschonden wanneer persoonsgegevens aan Israël worden doorgegeven.
Hierbij deel ik u mede dat de schriftelijke vragen van het lid El Abassi (DENK), van uw Kamer aan de Minister van Justitie en Veiligheid over de overdracht van persoonsgegevens van Europese burgers aan Israël. (ingezonden 7 mei 2025) niet binnen de gebruikelijke termijn kunnen worden beantwoord, aangezien nog niet alle benodigde informatie is ontvangen. Ik streef ernaar de vragen zo spoedig mogelijk te beantwoorden.