Preview document (🔗 origineel)

---

AH 2545

2025Z08787

Antwoord van staatssecretaris Struycken (Justitie en Veiligheid) (ontvangen 25 juni 2025)

Zie ook Aanhangsel Handelingen, vergaderjaar 2024-2025, nr. 2314

Vraag 1

Bent u bekend met het artikel in Follow the Money van 1 mei 2025 getiteld “Europese persoons­gegevens belanden in Israël: zorgen om surveillance en mensenrechtenschendingen”? 1)

Antwoord op vraag 1

Ja.

Vraag 2

Klopt het dat de Europese Commissie Israël heeft aangewezen als ‘veilige bestemming’ voor persoonsgegevens van Europese burgers, waardoor bedrijven gegevens mogen doorgeven aan Israël zonder aanvullende waarborgen?

Antwoord op vraag 2

De Algemene verordening gegevensbescherming (AVG) bepaalt dat doorgifte van persoonsgegevens aan derde landen, waaronder Israël, alleen onder bepaalde voorwaarden is toegestaan.¹ Doorgifte van persoonsgegevens zonder aanvullende waarborgen naar een derde land mag plaatsvinden als de Europese Commissie (EC), in een zogenoemd adequaatheidsbesluit, heeft besloten dat dit derde land voor doorgifte van persoonsgegevens een passend en met EU wetgeving vergelijkbaar beschermingsniveau biedt.² De Europese Commissie heeft op 31 januari 2011, op grond van artikel 25, zesde lid, van de destijds geldende gegevensbeschermingsrichtlijn 95/46/EG, een adequaatheidsbesluit genomen voor Israël.³ In dit besluit werd geoordeeld dat Israël een passend beschermingsniveau biedt voor doorgifte van persoonsgegevens die vanuit de Europese Unie worden doorgegeven naar Israël.⁴ Met het in werking treden van de AVG op 25 mei 2018 bleven de adequaatheidsbesluiten die op grond van de richtlijn waren vastgesteld, waaronder het adequaatheidsbesluit voor Israël, van kracht. De AVG verduidelijkt dat adequaatheidsbesluiten levende instrumenten zijn, en dat de Commissie doorlopend toezicht dient te houden op ontwikkelingen in derde landen die mogelijk gevolgen hebben voor het functioneren van bestaande adequaatheidsbesluiten.⁵

Artikel 97 AVG vereist daarnaast dat de Commissie deze besluiten om de vier jaar evalueert om te bepalen of de landen en gebieden waarvoor een passend beschermingsniveau is vastgesteld nog steeds een passend beschermingsniveau voor persoonsgegevens bieden.⁶ De Europese Commissie heeft op 15 januari 2024 haar eerste evaluatie afgerond van 11 adequaatheidsbesluiten die onder de gegevensbeschermingsrichtlijn (95/46/EG) waren genomen, waaronder ook het adequaatheidsbesluit voor Israël.

In het verslag van de Commissie aan het Europees Parlement en de Raad is vastgesteld dat Israël een passend niveau van gegevensbescherming blijft waarborgen, en dat er voor de doorgifte van gegevens naar Israël geen aanvullende waarborgen nodig zijn. Op grond van artikel 45, vierde lid, AVG, dient de Commissie doorlopend toezicht te houden op ontwikkelingen in derde landen die mogelijk gevolgen hebben voor het functioneren van een adequaatheidsbesluit.⁷ In het antwoord op vraag 6 ga ik nader in op de bevoegdheden die de Commissie terzake heeft. ⁸

Vraag 3

Kunt u aangeven om welke soorten persoonsgegevens het hier gaat en welke Nederlandse bedrijven of organisaties momenteel gegevens delen met Israëlische partijen?

Antwoord op vraag 3

De Europese Commissie beperkt in het adequaatheidsbesluit niet expliciet de soorten persoonsgegevens die mogen worden doorgegeven. Onder het adequaatheidsbesluit kunnen dus in beginsel alle persoonsgegevens worden gedeeld met Israëlische partijen. Artikel 30 AVG schrijft voor dat de Europese verwerkingsverantwoordelijke en in voorkomend geval de vertegenwoordiger van de verwerkingsverantwoordelijke, een register bijhoudt van de verwerkingsactiviteit die onder hun verantwoordelijkheid plaatsvindt. Het register dient onder meer een beschrijving te bevatten van de categorieën van betrokkenen en de categorieën persoonsgegevens, en de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, onder meer ontvangers in derde landen of internationale organisaties.⁹ Het valt onder de verantwoordingsplicht in de AVG, dat individuele verwerkingsverantwoordelijken zelf kunnen aantonen dat zij voldoen aan de AVG.¹⁰ Het is aan de Autoriteit Persoonsgegevens als onafhankelijke toezichthouder om te beoordelen of organisaties handelen in overeenstemming met de AVG, en om op te treden indien dit niet het geval is.

Het bijhouden of, en zo ja welke, soorten persoonsgegevens Nederlandse bedrijven of organisaties doorgeven aan Israëlische partijen, is – zo dat al doenlijk is - geen taak van het kabinet.

Vraag 4

Hoe beoordeelt u het feit dat persoonsgegevens van Nederlanders terecht kunnen komen bij partijen in een land waar ernstige zorgen bestaan over massasurveillance, mensenrechten en het ontbreken van onafhankelijk toezicht op privacybescherming?

Antwoord op vraag 4

Zoals ik schreef in het antwoord op vraag 2, waarborgt Israël naar het oordeel van de Europese Commissie een niveau van persoonsgegevensbescherming dat vergelijkbaar is met het niveau dat in de EU wordt verzekerd.¹¹ In dit kader is vorig jaar bij de evaluatie van het adequaatheidsbesluit gekeken naar de privacybescherming in Israël, het onafhankelijk toezicht daarop en de toegang tot het recht.¹²

Vraag 5

Is er toezicht op wat er met de gedeelde gegevens gebeurt zodra deze Israël bereiken? Zo ja, hoe is dit toezicht geregeld en wie voert het uit?

Antwoord op vraag 5

De toepassing van de rechtsnormen voor gegevensbescherming in Israël wordt, blijkens het adequaatheidsbesluit voor Israël, gewaarborgd door bestuurlijke rechtsmiddelen en toezicht door een toezichthoudende autoriteit.¹³ De Israëlische privacytoezichthouder, de Privacy Protection Authority (PPA) heeft (zoals ook in de evaluatie van het adequaatheidsbesluit wordt vastgesteld¹⁴) de bevoegdheid om onderzoek te verrichten en in te grijpen, en treedt onafhankelijk op.¹⁵

Vraag 6

In hoeverre acht u het wenselijk dat de Europese Commissie deze beslissing heeft genomen, terwijl landen als Frankrijk en Duitsland en mensenrechtenorganisaties daar kritiek op hebben? 2)

Antwoord op vraag 6

Op grond van artikel 45 AVG komt de bevoegdheid tot het nemen van de genoemde beslissing de Europese commissie toe. Op grond van artikel 45, vierde lid, AVG, houdt de Commissie doorlopend toezicht op ontwikkelingen in derde landen die mogelijk gevolgen hebben voor het functioneren van een adequaatheidsbesluit.¹⁶ Op grond van het vijfde lid gaat de Commissie, indien na toetsing blijkt dat een derde land niet langer over een passend beschermingsniveau beschikt, bij uitvoeringshandeling over tot het intrekken, wijzigen of schorsen van een adequaatheidsbesluit.¹⁷ Zij betrekt daarbij de zienswijzen van de lidstaten maar ook die van (internationale) organisaties. De Europese Commissie heeft in de evaluatie, en ook nadien naar aanleiding van vragen van het Europees Parlement,¹⁸ benadrukt de revelante ontwikkelingen in Israël nauwlettend te volgen. In het geval ontwikkelingen in een land of gebied met een passend beschermingsniveau een negatieve invloed zouden hebben op het vastgestelde beschermingsniveau, kan de Europese Commissie gebruik maken van haar bevoegdheden op grond van artikel 45, lid 5, AVG om een adequaatheidsbesluit op te schorten, te wijzigen of in te trekken.

Vraag 7

Wat betekent deze beslissing concreet voor de bescherming van de persoonsgegevens van Nederlanders, met name van mensen die gebruikmaken van apps als Waze, MyHeritage en FaceTune?

Antwoord op vraag 7

Onder het adequaatheidsbesluit kunnen persoonsgegevens vanuit de Europese Unie aan Israëlische organisaties worden doorgegeven, omdat een met EU recht vergelijkbaar niveau van rechtsbescherming geldt.

Vraag 8

Bent u bereid in Europees verband bezwaar te maken tegen deze aanwijzing van Israël als ‘veilige bestemming’ voor persoonsgegevens? Zo nee, waarom niet?

Antwoord op vraag 8

Daartoe zie ik geen aanleiding. Het nemen van een adequaatheidsbesluit op grond van artikel 45 AVG is een bevoegdheid van de Europese Commissie. Dat wil niet zeggen dat de verschillende lidstaten hierover niets in te brengen hebben; zij hebben bij de voorbereiding van zo’n besluit een adviserende rol via de op artikel 93 AVG gebaseerde comitéprocedure.¹⁹

Zoals hiervoor beschreven, is het bestaande EU-adequaatheidsbesluit voor Israël op 15 januari 2024 positief geëvalueerd door de Europese Commissie èn heeft de Europese Commissie de bevoegdheid het besluit op te schorten of in te trekken. Nederland volgt de ontwikkelingen nauwlettend.

Vraag 9

Bent u bereid te onderzoeken of Nederlandse burgers geïnformeerd kunnen worden wanneer hun persoonsgegevens met Israël worden gedeeld? Kunt u toezeggen dat mensen tenminste de mogelijkheid krijgen hier bezwaar tegen te maken?

Antwoord op vraag 9

De AVG verplicht verwerkingsverantwoordelijken reeds om betrokkenen te informeren bij het voornemen persoonsgegevens door te geven aan een derde land of een internationale organisatie.²⁰ Ook hebben betrokkenen al het recht om onder bepaalde voorwaarden bezwaar te maken tegen die verwerking, zoals vastgelegd in artikel 21 AVG. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de AVG, en dient naleving van de AVG aan te kunnen tonen. Het is aan de Autoriteit Persoonsgegevens, als onafhankelijke toezichthouder, om toe te zien op de naleving van de AVG en waar nodig handhavend op te treden.

Deze vereisten uit de AVG gelden, op grond van artikel 3, tweede lid, AVG, ook onder bepaalde voorwaarden voor organisaties buiten de EU die persoonsgegevens van in de EU verblijvende betrokkenen verwerken. De AVG heeft daarmee een extra territoriale werkingssfeer. Artikel 27, eerste lid, AVG, bepaalt tevens dat de verwerkingsverantwoordelijke zoals hiervoor genoemd, schriftelijk een vertegenwoordiger in de Europese Unie dient aan te wijzen. Om te waarborgen dat de verordening wordt nageleefd, wordt de vertegenwoordiger gemachtigd door de verwerkingsverantwoordelijke of de verwerker, om naast hem of in zijn plaats te worden benaderd in verband met de verwerking van persoonsgegevens, in het bijzonder door toezichthouders, Een betrokkene in Nederland kan, op grond van artikel 77 AVG, een klacht indienen bij de Autoriteit Persoonsgegevens.

Vraag 10

Deelt u de opvatting dat privacy een grondwettelijk recht is dat niet ondergeschikt mag zijn aan economische en/of diplomatieke belangen? Hoe gaat u de privacygegevens van Nederlandse burgers beschermen bij het delen daarvan met Israël?

Antwoord op vraag 10

De vraag suggereert dat sprake is van een spanningsveld waarin (door de Europese Commissie) een keuze is gemaakt voor het een ten koste van het ander. Dat is evenwel niet het geval. Zoals ik schreef in het antwoord op de vragen 2 en 4, waarborgt Israël naar het oordeel van de Europese Commissie een niveau van persoonsgegevensbescherming dat vergelijkbaar is met het niveau dat in de EU wordt verzekerd. Er is dus geen sprake van dat het grondrecht wordt geschonden wanneer persoonsgegevens aan Israël worden doorgegeven.

Vraag 11

Hoe gaat u de privacygegevens van Nederlandse burgers beschermen bij

het delen daarvan met Israël?

Antwoord op vraag 11

Zoals in het antwoord op vraag 9 is uiteengezet, is het aan elke verwerkingsverantwoordelijke om openheid te geven over het doorgeven van persoonsgegevens aan een derde land, zodat daartegen bezwaar kan worden gemaakt. Wanneer daarmee niets wordt gedaan, kan een klacht worden ingediend bij de Autoriteit Persoonsgegevens, als onafhankelijke toezichthouder.²¹

1) Follow the Money, 1 mei 2025, Europese persoons­gegevens belanden in Israël: zorgen om surveillance en mensen­rechten­schendingen (https://www.ftm.nl/artikelen/europese-persoonsgegevens-belanden-in-israel-zorgen-om-surveillance? share=%2Fy%2FiKJVwbTKqak7FemrXMhw9Eq4gymWwNt3PYT1MGqVcfIv47NW6c9RiTwMl55c%3D).

2) Re: Concerns Regarding European Commission's Reconfirmation of Israel’s Adequacy Status in the Recent Review of Adequacy Decisions, 22 april 2024 (https://edri.org/wp-content/uploads/2024/04/Concerns-Regarding-European-Commissions-Reconfirmation-of-Israels-Adequacy-Status-in-the-Recent-Review-of-Adequacy-Decisions-updated-open-letter-April-2024.pdf)

---

1. Artikel 44 e.v. AVG.↩︎

2. Artikel 45, eerste lid, AVG.↩︎

3. Europese Commissie, Besluit van 31 januari 2011 overeenkomstig Richtlijn 96/46/EG van het Europees Parlement en de Raad, over de passende bescherming van persoonsgegevens door de staat Israël wat de geautomatiseerde verwerking van persoonsgegevens betreft, Commissie-uitvoeringsbesluit 2011/61/EU, PB L27, 39-42. L_2011027NL.01003901.xml↩︎

4. Richtlijn 95/46/EG, PB L281, 23 november 1995, 31-50. EUR-Lex - 31995L0046 - NL↩︎

5. Europese Commissie, Tweede verslag over de toepassing van de Algemene verordening gegevensbescherming, COM(2024) 357 final, 25 juli 2024, eur-lex.europa.eu/legal-content/NL/TXT/PDF/?uri=CELEX:52024DC0357.↩︎

6. Europese Commissie, Verslag van de Commissie aan het Europese Parlement en de Raad over de eerste evaluatie van de adequaatheidsbesluiten die zijn vastgesteld op grond van artikel 25, lid 6, van Richtlijn 95/46/EG, COM(2024) 7 final, 15 januari 2024. URL: eur-lex.europa.eu/legal-content/NL/TXT/PDF/?uri=CELEX:52024DC0007.↩︎

7. Vgl. HvJ EU 6 oktober 2015, ECLI:EU:C:2015:650, C-362/14, r.o. 76 (Schrems).↩︎

8. Europese Commissie, Verslag van de Commissie aan het Europese Parlement en de Raad over de eerste evaluatie van de adequaatheidsbesluiten die zijn vastgesteld op grond van artikel 25, lid 6, van Richtlijn 95/46/EG, COM(2024) 7 final, 15 januari 2024. URL: eur-lex.europa.eu/legal-content/NL/TXT/PDF/?uri=CELEX:52024DC0007.↩︎

9. Artikel 30, eerste lid, onder c en d, AVG.↩︎

10. Artikel 5, tweede lid, AVG.↩︎

11. Artikel 45 lid 1 AVG.↩︎

12. Zie: Commission Staff Working Document. Country reports on the functioning of the adequacy decisions adopted under Directive 95/46/EC. Accompanying the document. Report from the Commission to the European Parliament and the Council on the first review of the functioning of the adequacy decisions adopted pursuant to Article 25(6) of Directive 95/46/EC SWD(2024) 3 final. p. 182 e.v.. URL: f8229eb2-1a36-4cf5-a099-1cd001664bff_en↩︎

13. URL: https://www.gov.il/en/departments/the_privacy_protection_authority/govil-landing-page.↩︎

14. Zie Commission Staff Working Document. Country reports on the functioning of the adequacy decisions adopted under Directive 95/46/EC. Accompanying the document. Report from the Commission to the European Parliament and the Council on the first review of the functioning of the adequacy decisions adopted pursuant to Article 25(6) of Directive 95/46/EC SWD(2024) 3 final. p. 192 e.v..URL: f8229eb2-1a36-4cf5-a099-1cd001664bff_en↩︎

15. Overwegingen 10 en 11 van Europese Commissie, Besluit van 31 januari 2011 overeenkomstig Richtlijn 96/46/EG van het Europees Parlement en de Raad, over de passende bescherming van persoonsgegevens door de staat Israël wat de geautomatiseerde verwerking van persoonsgegevens betreft, Commissie-uitvoeringsbesluit 2011/61/EU, PB L27, 39-42. URL: L_2011027NL.01003901.xml.↩︎

16. Vgl. HvJ EU 6 oktober 2015, ECLI:EU:C:2015:650, C-362/14, r.o. 76 (Schrems).↩︎

17. Europese Commissie, Verslag van de Commissie aan het Europese Parlement en de Raad over de eerste evaluatie van de adequaatheidsbesluiten die zijn vastgesteld op grond van artikel 25, lid 6, van Richtlijn 95/46/EG, COM(2024) 7 final, 15 januari 2024. URL: eur-lex.europa.eu/legal-content/NL/TXT/PDF/?uri=CELEX:52024DC0007↩︎

18. Parliamentary question | Answer for question E-001254/24 | E-001254/2024(ASW) | European Parliament, d.d. 9 juli 2024.↩︎

19. Artikel 45 lid 3 en artikel 45 lid 5 AVG.↩︎

20. Artikel 13, eerste lid, onder e, en artikel 14 AVG, eerste lid, onder f.↩︎

21. Artikel 15, eerste lid, onder f.↩︎