Preview document (🔗 origineel)

---

No.W16.22.0137/II/K 's-Gravenhage, 16 november 2022

...................................................................................

Bij Kabinetsmissive van 20 juli 2022, no.2022001614, heeft Uwe Majesteit, op voordracht van de Minister van Buitenlandse Zaken, mede namens de Minister voor Rechtsbescherming, de Minister van Binnenlandse Zaken en Koninkrijksrelaties en de Minister van Defensie, bij de Afdeling advisering van de Raad van State van het Koninkrijk ter overweging aanhangig gemaakt het voorstel van rijkswet houdende goedkeuring van het op 28 januari 1981 te Straatsburg tot stand gekomen Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 1988, 7) en goedkeuring van het op 10 oktober 2018 te Straatsburg tot stand gekomen Protocol tot wijziging van het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 2018, 201), met memorie van toelichting.

Het voorstel strekt tot goedkeuring van het in 2018 tot stand gekomen wijzigingsprotocol inzake het Verdrag van de Raad van Europa tot bescherming van personen met betrekking tot geautomatiseerde verwerking van gegevens. Het protocol brengt de bescherming van persoonsgegevens in het verdrag op hetzelfde niveau als dat van de Algemene Verordening Gegevensbescherming (AVG) van de Europese Unie. Het protocol wijzigt het verdrag integraal, waarna het ook wel wordt aangeduid als “Conventie 108+”. Anders dan bij de AVG, valt ook de verwerking van persoonsgegevens in het kader van defensie en van de bescherming van de nationale veiligheid onder de werkingssfeer van het verdrag.

Het protocol wordt goedgekeurd voor het hele Koninkrijk. De toelichting bij het rijkswetsvoorstel legt uit dat Conventie 108+ voor Europees Nederland niet noopt tot wijziging van regelgeving. Voor de Caribische delen van het Koninkrijk zal in een later stadium regelgeving tot stand worden gebracht.

De Afdeling advisering van het Koninkrijk maakt opmerkingen over de bestaande ministeriële regeling voor de verwerking van persoonsgegevens in militaire operaties. Zij wijst erop dat Conventie 108+ aanleiding vormt het aparte verwerkingsregime voor militaire operaties op hoofdlijnen in de wet vast te leggen en op onderdelen te verduidelijken.

Daarnaast geeft de Afdeling, zoals gevraagd door de Minister van Binnenlandse Zaken en Koninkrijksrelaties, een reflectie op de betekenis van Conventie 108+ voor de nationale veiligheid en de inlichtingen- en veiligheidsdiensten. Zij merkt op dat de Wet op de inlichtingen- en veiligheidsdiensten 2017 nauw aansluit op de algemene beginselen van het gegevensbeschermingsrecht. Op enkele punten vindt de Afdeling het aangewezen dat de verhouding tot Conventie 108+ wordt verduidelijkt.

Tot slot wijst de Afdeling erop dat de eisen die Conventie 108+ stelt aan het gegevensbeschermingsrecht significant hoger zijn dan de thans in het Caribische deel van het Koninkrijk geldende wettelijke kaders. Zij adviseert in de toelichting te verduidelijken wat ervoor nodig is om op de eilanden te voorzien in het benodigde niveau van bescherming.

In verband met deze opmerkingen is aanpassing wenselijk van de toelichting, en zo nodig van het wetsvoorstel.

1. Achtergrond en inhoud

Conventie 108 uit 1981 is het gegevensbeschermingsverdrag van de Raad van Europa, dat ook open staat voor staten die geen lid zijn van de Raad van Europa. Conventie 108 is van kracht voor 55 staten, waaronder alle lidstaten van de EU, Turkije, Marokko, Mexico en Argentinië. Voor wat betreft het Koninkrijk geldt het verdrag voor het Europese en Caribische deel van Nederland.

Het goedkeuringsrijkswetsvoorstel heeft betrekking op het protocol tot wijziging van Conventie 108, dat in 2018 tot stand is gekomen. De wijzigingen die het protocol aanbrengt, zijn zodanig dat er materieel vrijwel een geheel nieuw verdrag ontstaat, ook wel aangeduid als Conventie 108+. De belangrijkste inhoudelijke wijziging is dat met dit protocol de bescherming van persoonsgegevens in de Conventie op hetzelfde niveau wordt gebracht als dat van de Algemene Verordening Gegevensbescherming (AVG)¹ en de Richtlijn opsporing en vervolging.² De Conventie heeft, anders dan de AVG en de Richtlijn, ook betrekking op de verwerking van persoonsgegevens ten behoeve van defensie en de nationale veiligheid. Het protocol trekt daarnaast de materiële werkingssfeer voor alle verdragspartijen gelijk, nu het de mogelijkheid uit de oude Conventie 108 schrapt om zelf sectoren of activiteiten uit te sluiten van toepassing van het verdrag.

Conventie 108+ voorziet wel in een uitzonderingsregime en somt de uitzonderingsmogelijkheden limitatief op. Daarbij gaat het om mogelijke uitzonderingen op de algemene beginselen van gegevensbescherming (art. 5, vierde lid), de verplichting tot de melding van datalekken (art. 7, tweede lid), de informatieverplichting jegens de betrokkene (art. 8) en de individuele rechten van de betrokkene (art. 9).³ Een uitzondering op de rechten en verplichtingen in deze bepalingen moet aan enkele algemene eisen voldoen. Zij moet:

• bij wet zijn voorzien;

• noodzakelijk en proportioneel zijn in een democratische samenleving en

• in het belang zijn van een of meer van de specifiek genoemde doelen.⁴

Voor defensie en de bescherming van de nationale veiligheid zijn er aanvullende uitzonderingsmogelijkheden. Deze uitzonderingen mogen geen afbreuk doen aan het vereiste van onafhankelijk en effectief toezicht zoals waarin is voorzien in de nationale wetgeving.⁵

Het rijkswetsvoorstel keurt Conventie 108 goed voor Aruba, Curaçao en Sint Maarten.⁶ Daarnaast wordt voorgesteld het wijzigingsprotocol goed te keuren voor het gehele Koninkrijk.⁷

De toelichting meldt dat het wijzigingsprotocol in het Europese deel van Nederland geen verandering met zich mee brengt voor de domeinen die onder de AVG en de richtlijn vallen. Voor het onderwerp defensie geldt dat de verwerking van persoonsgegevens al binnen het toepassingsbereik van de AVG is gebracht, met de mogelijkheid hiervan af te wijken indien noodzakelijk met het oog op de inzet van de krijgsmacht (zie hierna punt 2).⁸ De werkzaamheden van de AIVD en de MIVD, wier taken uitsluitend op het terrein van de nationale veiligheid liggen, zijn gereguleerd in de Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv 2017). Dit wettelijk kader valt niet onder de AVG, maar nu wel onder Conventie 108+. De toelichting geeft aan dat de Wiv 2017 in lijn is met de in de beperkingssystematiek van de Conventie en geen wijziging behoeft.

Dat is anders voor het Caribische deel van Nederland en voor Aruba, Curaçao en Sint Maarten. De toelichting meldt dat het verdrag en het wijzigingsprotocol pas zullen worden geratificeerd als de benodigde uitvoeringwetgeving gereed is.

In dit advies zal de Afdeling achtereenvolgens ingaan in punt 2 op het onderwerp defensie, in punt 3 op de nationale veiligheid en de inlichtingen- en veiligheidsdiensten, in punt 4 op de Koninkrijkspositie en in punt 5 op de eenieder verbindende bepalingen. In punt 3 wordt tevens antwoord gegeven op de specifieke vraag die de minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) bij de aanvraag voor het advies aan de Afdeling heeft gesteld. Deze heeft betrekking op de verhouding van de Wiv 2017 tot het uitzonderingsregime van Conventie 108+ en het belang van de nationale veiligheid.

2. Defensie

a. Niveau van regelgeving

Hoewel de AVG formeel niet van toepassing is op defensie,⁹ zijn de regels voor gegevensbescherming voor defensie bij de totstandkoming van de Uitvoeringswet AVG (UAVG) gelijkgetrokken met de AVG.¹⁰ De UAVG maakt wel een uitzondering hierop mogelijk: de UAVG en de AVG zijn niet van toepassing op de verwerking van persoonsgegevens door de krijgsmacht, indien de minister van Defensie daartoe ‘beslist met het oog op de inzet of het ter beschikking stellen van de krijgsmacht.’¹¹ Op grond van de UAVG specificeert de Regeling Gegevensbescherming Militaire Operaties welke bepalingen uit de AVG en de UAVG buiten toepassing blijven. Deze uitzonderingen gelden alleen voor zover dat noodzakelijk is voor de uitvoering van het mandaat en de bescherming van de troepenmacht.¹²

Conventie 108+ ziet als het gegevensbeschermingsverdrag van de Raad van Europa ook op aangelegenheden van defensie. De toelichting gaat uitsluitend in op de vraag of het stelsel van uitzonderingen en beperkingen voor defensie in lijn is met de beperkingssystematiek van Conventie 108+.¹³ De Afdeling acht dat begrijpelijk maar merkt op dat in de nadere uitwerking van de noodzakelijke regels ook artikel 10 Grondwet moet worden betrokken. De bescherming van persoonsgegevens op grond van Conventie 108+ en de AVG is immers een uitwerking van het recht op eerbiediging van de persoonlijke levenssfeer zoals neergelegd in artikel 10 van de Grondwet.¹⁴

Artikel 10, eerste lid, Grondwet staat bij of krachtens de wet beperkingen van het daarin gewaarborgde recht toe. De wetgever dient daartoe de reikwijdte en structurele elementen van een beperking in de wet zelf vast te leggen.¹⁵ Aan deze verplichting wordt geen recht gedaan als de concrete invulling vrijwel geheel wordt overgelaten aan lagere regelgeving.¹⁶ Een nadere uitwerking van de beperking kan plaatsvinden bij algemene maatregel van bestuur (amvb) indien een wet in formele zin hiervoor de delegatiegrondslag biedt. Een ministeriële regeling leent zich enkel voor technische voorschriften of voorschriften die met spoed gewijzigd moeten kunnen worden.¹⁷

Gelet op artikel 10 Grondwet is de uitzonderingsmogelijkheid voor defensie in de UAVG te onbepaald. De wet specificeert niet welke bepalingen van de UAVG en de AVG buiten toepassing kunnen blijven. Evenmin blijkt uit de wet op welke wijze de verwerking van persoonsgegevens in militaire operaties op hoofdlijnen zal plaatsvinden. De UAVG laat de nadere regeling geheel over aan de genoemde ministeriële regeling.

De Afdeling merkt op dat de goedkeuring van Conventie 108+ aanleiding vormt deze bestaande systematiek meer in overeenstemming te brengen met artikel 10 van de Grondwet. Zij adviseert in elk geval op hoofdlijnen wettelijk te verankeren welke beperkingen zijn toegestaan en wat hiervoor de randvoorwaarden zijn en voorts een delegatiegrondslag in de wet op te nemen waarin bepaalt wordt dat bij of krachtens algemene maatregel van bestuur nadere regels worden gesteld.

b. Verwerking van persoonsgegevens in de ministeriële regeling

De Regeling Gegevensverwerking Militaire Operaties somt op in welke gevallen de AVG en de UAVG niet van toepassing zijn op de verwerking van persoonsgegevens voor zover dat noodzakelijk is voor, kortweg, het belang van de militaire operatie. Daarin wordt uitzondering gemaakt op de voorschriften voor de verwerking van bijzondere persoonsgegevens en strafrechtelijke gegevens (artikelen 9 en 10 AVG en 22-30 UAVG), de rechten van betrokkene (hoofdstuk III AVG), de meldplichten, de privacy impact assessment en de voorafgaande raadpleging toezichthouder (artikelen 33-36 AVG).¹⁸

De toelichting stelt dat dit uitzonderingsregime in lijn is met de beperkingensystematiek van Conventie 108+.¹⁹ De Afdeling onderschrijft dit standpunt in algemene zin maar meent dat op een enkel onderdeel de inhoud van de ministeriële regeling in het licht van Conventie 108+ vragen oproept.

Zo voorziet Conventie 108+ niet in een uitzondering op de verplichting na te gaan wat de privacy impact is van de verwerking van persoonsgegevens,²⁰ terwijl de ministeriële regeling die ruimte wel biedt in de vorm van een uitzondering om een formele Privacy Impact Assesment uit te voeren.²¹ Daarbij is de vraag hoe ver de Conventie 108+ op dit punt precies reikt en hoe de ministeriële regeling zich hiertoe verhoudt. De toelichting gaat hier niet op in.

Daarnaast is niet duidelijk in hoeverre het aparte verwerkingsregime voor bijzondere persoonsgegevens dat de ministeriële regeling voorschrijft, in overeenstemming is met Conventie 108+. Conventie 108+ stelt hiervoor als voorwaarde dat er “appropriate safeguards” zijn, die het verdrag aanvullen.²² De ministeriële regeling verklaart de bepalingen van de AVG en de UAVG over bijzondere persoonsgegevens buiten toepassing. Het voorziet vervolgens echter alleen voor de verwerking van biometrische en genetische persoonsgegevens in een apart verwerkingsregime.²³ Voor de verwerking van andere bijzondere persoonsgegevens, zoals die betreffende gezondheid, ras of religie, worden geen aparte regels gesteld. Met het ontbreken van een apart regime voor deze gegevens zou kunnen worden aangenomen dat verwerking hiervan in lijn met de hoofdregel van de AVG en de UAVG, niet is toegestaan. De regeling is op dit punt echter niet duidelijk. Ook de toelichting bij de goedkeuringswet verschaft hierin geen helderheid.

De Afdeling adviseert in de toelichting te motiveren dat de bestaande uitzonderingsmogelijkheden voor defensie overeenstemmen met Conventie 108+ en zo nodig de betreffende regelgeving op dit punt aan te passen.

3. Nationale veiligheid en de inlichtingen- en veiligheidsdiensten

a. Vraag van de Minister van BZK

Bij de aanvraag voor het advies over de goedkeuringswet heeft de Minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) aan de Afdeling gevraagd aandacht te schenken aan het uitzonderingsregime van Conventie 108+ en het belang van de nationale veiligheid. De minister geeft aan dat met de Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv 2017) is voldaan in het vereiste dat een uitzondering bij wet moet zijn voorzien. Het is volgens de minister niet nodig een expliciete verwijzing naar de uitzonderingsclausule uit het verdrag op te nemen. De Wiv 2017 behoeft daarmee naar het oordeel van de minister geen aanpassing. De minister vraagt of de Afdeling zich in deze benadering kan vinden.

Naar aanleiding van deze vraag reflecteert de Afdeling in het navolgende op (b) de Conventie 108+ in relatie tot de Wiv 2017, (c) het begrip nationale veiligheid, en (d) de betekenis van het begrip effectief toezicht.

b. Conventie 108+ en de Wiv 2017

De Wiv 2017 voorziet in een uitgewerkt gegevensverwerkingsregime voor de inlichtingen- en veiligheidsdiensten. Het regime is geënt op de jurisprudentie van het EHRM en sluit nauw aan op de algemene beginselen van het gegevensbeschermingsrecht. Een expliciete verwijzing in de wet naar Conventie 108+ is niet noodzakelijk. Wel dient duidelijk te zijn op welke wijze de Wiv 2017 overeenstemt met dan wel afwijkt van Conventie 108+. In de toelichting bij het voorstel voor deze goedkeuringswet wordt hierop ingegaan.²⁴ Met het oog daarop merkt de Afdeling het volgende op.

i. Conventie 108+ staat beperkingen toe op de rechten die het verdrag aan betrokkenen toekent.²⁵ De toelichting stelt enerzijds dat vanwege geheimhouding onder de Wiv 2017 de rechten van betrokkenen mogen worden beperkt en anderzijds dat de Wiv 2017 voorziet in rechten voor betrokkenen.²⁶ De toelichting specificeert daarbij niet van welke uitzonderingsmogelijkheid uit de Conventie 108+ nu wel en geen gebruik wordt gemaakt en wat hiervan de motivering is.

De Afdeling adviseert de toelichting op dit punt aan te vullen.

ii. Daarnaast kent Conventie 108+ aan toezichthouders de taak toe te worden geconsulteerd over nieuwe regelgeving.²⁷ Hierop is geen uitzondering toegestaan. In de Wiv 2017 is dit nu nog niet opgenomen als wettelijke taak voor de CTIVD en de andere toezichthouder, de Toetsingscommissie Inzet Bevoegdheden (TIB). De adviestaak van de AP is wel wettelijk vastgelegd.²⁸ De toelichting gaat niet in op de vraag waarom deze bevoegdheid niet ook voor de genoemde toezichthouders in de wet wordt geregeld.

De Afdeling adviseert in de toelichting op het voorgaande in te gaan en de Wiv 2017 zo nodig aan te passen.

c. Nationale veiligheid

In EU verband wordt de bescherming van de nationale veiligheid gezien als een essentiële staatsfunctie die exclusief valt onder de verantwoordelijkheid van de lidstaten.²⁹ Om die reden bepaalt de UAVG dan ook dat de AVG niet van toepassing is op de verwerking van persoonsgegevens door de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) op basis van de Wiv 2017.³⁰ Conventie 108+ ziet wel op gegevens die worden verwerkt in het kader van taken ten behoeve van de bescherming van de nationale veiligheid. De Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) en de Toetsingscommissie Inzet Bevoegdheden (TIB) hebben in hun gezamenlijke memo over Conventie 108+ bepleit dat het verdrag aanleiding vormt ook andere organisaties die zich met nationale veiligheid bezighouden onder één toezichthouder te brengen.³¹

De toelichting stelt dat de AIVD en de MIVD als enige organisaties heimelijk persoonsgericht onderzoek uitvoeren dat zich uitsluitend in het domein van de nationale veiligheid bevindt. Dat brengt specifieke beperkingen met zich mee die uitzonderingen op het gegevensbeschermingsrecht rechtvaardigen. Andere organisaties, zoals bijvoorbeeld de Nationaal Coördinator Terrorisme en Veiligheid (NCTV), zijn weliswaar betrokken bij de bescherming van de nationale veiligheid maar hebben niet een vergelijkbare onderzoekstaak en vervullen vooral andere werkzaamheden. In die gevallen volstaat het algemene gegevensbeschermingsrecht en het toezicht van de AP, aldus de toelichting.³²

Deze zelfde redenering is gehanteerd in de toelichting op het wetsvoorstel dat beoogt een wettelijke basis te geven aan de verwerking van persoonsgegevens door de NCTV.³³ De Afdeling onderschreef deze lezing in haar advies over dat wetsvoorstel.³⁴ Conventie 108+ sluit aan bij de door het Europees Hof voor de Rechten van de Mens (EHRM) ontwikkelde definitie van nationale veiligheid.³⁵ Bovendien biedt het de lidstaat de ruimte om de bepalingen van het verdrag in overeenstemming met het eigen nationale constitutionele recht te implementeren. Op dit punt ziet de Afdeling, net als de regering, geen aanleiding bestaande regelgeving aan te passen.

d. Effectief toezicht

Conventie 108+ bepaalt dat toezichthouders beschikken over “powers of investigation and intervention” alsmede over “powers to […] impose administrative sanctions”.³⁶ Hierop kunnen uitzonderingen worden gemaakt, maar daarbij moet het vereiste van onafhankelijk en effectief toezicht geborgd zijn.³⁷ Op basis van de Wiv 2017 beschikt de TIB over bindende bevoegdheden, maar de CTIVD niet.

De CTIVD en de TIB hebben hun gezamenlijke memo over Conventie 108+ aangegeven dat effectief toezicht bindend toezicht impliceert. Het ontbreken van deze bevoegdheden zou niet te rijmen zijn met de geldende internationaalrechtelijke normen.³⁸ In de toelichting wordt dit genuanceerd, met verwijzing naar het rapport van de Evaluatiecommissie Wiv 2017. De Evaluatiecommissie concludeert dat, hoewel het toezicht van de CTIVD niet bindend is, het wel bijzonder effectief is.³⁹ Ook worden uitspraken van het EHRM aangehaald waar uit blijkt dat het Hof niet-bindend toezicht onder omstandigheden als onafhankelijk en effectief aanmerkt.⁴⁰

De Afdeling onderschrijft het, ook in recente advisering verwoord, uitgangspunt dat, ondanks het feit dat het EHRM een voorkeur heeft voor bindend toezicht, het er blijkens diens rechtspraak vooral om gaat dat het stelsel als geheel waarborgen bevat die in hun onderlinge samenhang adequate en effectieve garanties bieden tegen willekeur en het risico van misbruik.⁴¹ Op dit punt ziet de Afdeling dan ook geen noodzaak de bestaande regelgeving naar aanleiding van Conventie 108+ aan te passen.

4. Koninkrijkspositie

De AVG is niet van toepassing op het Caribische deel van het Koninkrijk. Conventie 108 geldt wel voor het Caribische deel van Nederland. De Wet persoonsgegevens BES is hierop gebaseerd. In de Caribische landen geldt Conventie 108 niet. De landen hebben voor de gegevensbescherming ieder hun eigen landsverordeningen.

De consultatieversie van het voorstel keurde het wijzigingsprotocol enkel goed voor het Europese deel van Nederland. Als reden hiervoor werd aangedragen dat Nederland had toegezegd het protocol binnen drie jaar na ondertekening te ratificeren. De minister achtte dit niet haalbaar voor het Caribische deel van Nederland omdat hiervoor wijziging van de Wet persoonsgegevens BES nodig was en uitbreiding van de taken van de Commissie van toezicht bescherming persoonsgegevens-BES. Dit zou meer tijd kosten, ook omdat los hiervan eerst een evaluatieonderzoek van de Wet persoonsgegevens BES zou moeten plaatsvinden. Voor de Caribische landen gold bovendien dat uitvoeringswetgeving nog gemaakt moest worden. De minister gaf aan dat te zijner tijd voor één of meer delen van het Koninkrijk een separate parlementaire goedkeuringsprocedure zou worden opgestart.

De Autoriteit Persoonsgegevens benadrukte in reactie op de consultatieversie van het voorstel het belang van een gelijkwaardige bescherming van persoonsgegevens binnen het Koninkrijk. Omdat binnen het Koninkrijk veel persoonsgegevens worden uitgewisseld, dient de bescherming op hetzelfde niveau te zijn. Daarbij is Conventie 108+ een uitwerking van het door artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM) beschermde recht op eerbiediging van de persoonlijke levenssfeer. De AP adviseerde daarom het wijzigingsprotocol voor het hele Koninkrijk goed te keuren en te voorzien in een nadere vermelding van de wijze waarop een tijdige totstandkoming van uitvoeringswetgeving kan worden bewerkstelligd.⁴²

Naar aanleiding van dit advies is het voorstel aangepast naar een voorstel van Rijkswet waarbij Conventie 108 ook wordt goedgekeurd voor Aruba, Curaçao en Sint Maarten.⁴³ Daarnaast wordt voorgesteld het wijzigingsprotocol goed te keuren voor het gehele Koninkrijk.⁴⁴ De toelichting meldt dat voor het Caribische deel van Nederland de geldende regelgeving wordt aangepast en dat voor Aruba, Curaçao en Sint Maarten consensusrijkswetgeving tot stand zal worden gebracht. Er is een aantal domeinen dat niet mee zal worden genomen in de consensusrijkswet, te weten het domein van de inlichtingen- en veiligheidsdiensten, van de verkiezingen en van de basisadministratie persoonsgegevens. Deze domeinen zullen separaat door de landen zelf worden beoordeeld en nader geregeld.⁴⁵ Uit de toelichting blijkt niet waarom voor deze domeinen wordt gekozen voor een afwijkende wettelijke voorziening. Het verdrag en het wijzigingsprotocol zullen voor het Caribische deel van het Koninkrijk worden geratificeerd als de benodigde uitvoeringwetgeving gereed is.

De Afdeling onderschrijft het belang van een goede bescherming van persoonsgegevens in het Caribische deel van het Koninkrijk. Zij constateert echter dat het invoeren van een adequaat niveau van bescherming op de eilanden in de praktijk niet eenvoudig is gebleken.⁴⁶ De eisen die Conventie 108+ hieraan stelt zijn significant hoger dan de thans geldende wettelijke kaders. De toelichting geeft geen inzicht in wat er voor nodig is om de benodigde regelgeving tot stand te brengen en wat vervolgens noodzakelijk is om de uitvoering hiervan voor te bereiden en effectief te realiseren.

De Afdeling adviseert in het licht van het voorgaande in de toelichting nader in te gaan op het tijdpad en de aanpak voor zowel de totstandkoming van de noodzakelijke wetgeving als de effectieve uitvoering daarvan. In het bijzonder het laatste verdient gelet op de effectiviteit van wetgeving concrete aandacht. Daarnaast adviseert zij in de toelichting te motiveren waarom de genoemde domeinen niet zullen worden meegenomen in de voorgenomen consensusrijkswet en daarbij in te gaan op de vraag op welke wijze voor deze terreinen wordt gegarandeerd dat aan de verplichtingen die ook voor deze domeinen voortvloeien uit Conventie 108+, zal worden voldaan.

5. Een ieder verbindende bepalingen

Als een verdrag ter goedkeuring wordt voorgelegd aan de Staten-Generaal, moet worden aangegeven of het verdrag naar het oordeel van de regering bepalingen bevat die naar hun inhoud een ieder kunnen verbinden en, indien dit het geval is, welke bepalingen het betreft.⁴⁷ Het gaat om een voorlopig oordeel; in het concrete geval is het oordeel aan de rechter. Een bepaling is “een ieder verbindend” (heeft rechtstreekse werking) als zij onvoorwaardelijk en voldoende nauwkeurig is om in de nationale rechtsorde zonder meer als objectief recht te kunnen worden toegepast.⁴⁸

De toelichting bij de goedkeuringswet noemt een drietal een ieder verbindende bepalingen in Conventie 108+: artikel 5 (legitimacy of data processing and quality of data), artikel 9 (rights of the data subject) en artikel 18 (assistance tot data subjects). Uit deze bepalingen kunnen rechten worden afgeleid waar een ieder een beroep op kan doen. De Afdeling merkt op dat dit mogelijk ook geldt voor een tweetal andere bepalingen: artikel 6 (special categories of data) en artikel 8 (transparancy of processing). Zij adviseert te bezien of deze bepalingen niet ook als rechtstreeks werkend in de toelichting dienen te worden aangemerkt.

De Afdeling advisering van de Raad van State van het Koninkrijk heeft een aantal opmerkingen bij het voorstel van rijkswet en adviseert daarmee rekening te houden voordat het voorstel van rijkswet bij de Tweede Kamer der Staten-Generaal wordt ingediend en aan de Staten van Aruba, die van Curaçao en die van Sint Maarten wordt overgelegd.


De vice-president van de Raad van State van het Koninkrijk,

---

1. Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 94/46/EG, PbEU 2016, L 119 (AVG).↩︎

2. Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad, Pb EU 2016, L119.↩︎

3. Conventie 108+, artikel 11.↩︎

4. Conventie 108+, artikel 11, eerste lid. Zie ook Explanatory report to the Protocol amending the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, paragraaf 91.↩︎

5. Conventie 108+, artikel 11, derde lid.↩︎

6. Voorgesteld artikel 1.↩︎

7. Voorgesteld artikel 2.↩︎

8. UAVG, artikel 3, eerste lid, onder b en tweede lid onder a.↩︎

9. De verdediging van de territoriale integriteit is een bevoegdheid van de lidstaten en niet van de Europese Unie, zie artikel 4, tweede lid, Verdrag betreffende de Europese Unie.↩︎

10. UAVG, artikel 3, eerste en tweede lid.↩︎

11. UAVG, artikel 3, derde lid, onder a. Thans is een Verzamelwet gegevensbescherming in de maak waarmee deze bepaling zo wordt aangepast dat duidelijker tot uitdrukking wordt gebracht dat de minister kan besluiten te voorzien in een uitzondering voor een specifieke militaire operatie dan wel (zoals thans het geval is) bij ministeriële regeling regels stelt voor alle militaire operaties. zie Voorstel Verzamelwet gegevensbescherming, bij de Afdeling advisering aanhangig gemaakt op 14 december 2021, zie Overheid.nl | Consultatie Verzamelwet gegevensbescherming (internetconsultatie.nl). De Afdeling heeft in haar advies bij dat wetsvoorstel toen geen opmerkingen gemaakt.↩︎

12. Regeling Gegevensbescherming Militaire Operaties, artikel 1.↩︎

13. Toelichting, paragraaf 3, Uitvoering van het wijzigingsprotocol.↩︎

14. De persoonlijke levenssfeer wordt ook beschermd door artikel 8 van het Europees Verdrag tot bescherming van de Rechten van de Mens en de fundamentele vrijheden (EVRM) en de artikelen 7 en 8 van het Handvest van de grondrechten van de EU.↩︎

15. Zie ook Aanwijzingen voor de regelgeving, 2.19.↩︎

16. Zie ook Advies van de Afdeling advisering over de Wet Gegevensverwerking Samenwerkingsverbanden, 20 november 2019, Kamerstukken II 2019/20, 35447, nr. 4, punt 7.↩︎

17. Aanwijzingen voor de regelgeving, 2.24.↩︎

18. Regeling Gegevensbescherming Militaire Operaties, artikel 1.↩︎

19. Toelichting, paragraaf 3.↩︎

20. Conventie 108+, artikel 10, tweede lid.↩︎

21. Regeling Gegevensbescherming Militaire Operaties, artikel 1, eerste lid, creëert een uitzondering op artikel 35 van de AVG dat de gegevensbeschermingseffectbeoordeling verplicht stelt.↩︎

22. Conventie 108+, artikel 6, beschrijft dat bijzondere persoonsgegevens alleen mogen worden verwerkt indien “appropriate safeguards are enshrined in law, complementing those of this Convention”.↩︎

23. Regeling Gegevensbescherming Militaire Operaties, artikel 1, eerste lid, creëert een uitzondering op de artikelen 9 en 10 van de AVG en artikel 2 bevat nadere voorschriften voor de verwerking van biometrische en genetische persoonsgegevens. Zo is de verwerking van deze gegevens enkel toegestaan ten behoeve van het vaststellen van de identiteit van een persoon.↩︎

24. Toelichting, paragrafen 4 en 5.↩︎

25. Conventie 108, artikel 9.↩︎

26. Toelichting, paragraaf 4, Verwerking van persoonsgegevens op grond van de Wiv 2017.↩︎

27. Conventie 108+, artikel 15, derde lid.↩︎

28. Artikel 57, eerste lid, onder c en l, AVG.↩︎

29. De bescherming van de nationale veiligheid is een bevoegdheid van de lidstaten en niet van de Europese Unie, zie artikel 4, tweede lid, Verdrag betreffende de Europese Unie. Zie ook artikel 3, derde lid, onder b, UAVG.↩︎

30. Kamerstukken II 2017/18, 34851, nr. 3, p. 13-14.↩︎

31. CTIVD en TIB, memo Raad van Europa Conventie 108+ en toezicht op nationale veiligheid, www.ctivd.nl.↩︎

32. Memorie van toelichting, p. 12.↩︎

33. Kamerstukken II 2021/22, 35958, nr. 3, p. 16 en 17.↩︎

34. Advies van de Afdeling advisering van de Raad van State van 2 september 2021 over de Wet verwerking persoonsgegevens coördinatie en analyse terrorismebestrijding en nationale veiligheid (W16.21.0218/II), Kamerstukken II 2021/22, 35958, nr. 4.↩︎

35. Explanatory report to the Protocol amending the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, paragraaf 94.↩︎

36. Conventie 108+, artikel 15, tweede lid onder a en c.↩︎

37. Conventie 108+, artikel 11, derde lid.↩︎

38. CTIVD en TIB, memo Raad van Europa Conventie 108+ en toezicht op nationale veiligheid, www.ctivd.nl.↩︎

39. Rapport Evaluatiecommissie Wiv 2017, bijlage bij Kamerstukken 2020/21, 34588, nr. 88.↩︎

40. Toelichting, paragraaf 5, advies en consultatie. Zie ook EHRM 21 mei 2021, 58170/13, 62322/14 en 24960/15 (Big Brother Watch and others v. The United Kingdom), paragraaf 412.↩︎

41. Zie het advies van de Afdeling advisering van 21 september 2016 over de Wet op de inlichtingen- en veiligheidsdiensten 20.. (W04.16.0097/I), Kamerstukken II 2016/17, 34588, nr. 4 en van 22 juni 2022 over de Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma (W04.22.0073/I), nog niet ingediend in de Tweede Kamer (te vinden op www.raadvanstate.nl).↩︎

42. Consultatiereactie Autoriteit Persoonsgegevens, 4 februari 2021, p. 5 en 6.↩︎

43. Goedkeuringswet, artikel 1.↩︎

44. Goedkeuringswet, artikel 2.↩︎

45. Memorie van toelichting, paragraaf 3.↩︎

46. Evaluatie Wet bescherming persoonsgegevens BES, Kamerstukken II 2019/20, 32761, nr. 154.↩︎

47. Artikel 2, tweede lid, van de Rijkswet goedkeuring en bekendmaking verdragen.↩︎

48. HR 1 april 2011, ECLI:NL:HR:2011:BP3044 en HR 10 oktober 2014, ECLI:NL:HR:2014:2928↩︎