Wetsvoorstel (23-10-2023) ter goedkeuring van het op 28 januari 1981 te Straatsburg tot stand gekomen Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 1988, 7); van het op 10 oktober 2018 te Straatsburg tot stand gekomen Protocol tot wijziging van het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 2018, 201 en Trb. 2023, 54)
—Het Verdrag, Conventie 108 van de Raad van Europa, is tot stand gekomen in reactie op de ontwikkelingen in de informatietechnologie destijds, zoals het gebruik van computers voor administratieve doeleinden, en vormt een uitwerking van het door artikel 8 EVRM beschermde recht op eerbiediging van de persoonlijke levenssfeer met betrekking tot de geautomatiseerde verwerking van persoonsgegevens. Conventie 108 is wereldwijd het enige verdrag inzake de bescherming van persoonsgegevens en staat ook open voor staten die geen lid zijn van de Raad van Europa. Momenteel is het verdrag van kracht voor 55 staten, waaronder alle EU lidstaten, het VK, Turkije, Marokko, Mexico, Uruguay en Argentinië. Het verdrag geldt zowel voor het Europese als het Caribische deel van Nederland. Door het wijzigingsprotocol waarvan met dit wetsvoorstel implementatie wordt beoogd, wordt een aantal inhoudelijke en institutionele wijzigingen doorgevoerd in het verdrag. De materiële werkingssfeer van het verdrag wordt voor alle verdragspartijen gelijkgetrokken. Op basis van het huidige verdrag kunnen de verdragspartijen nog bepaalde sectoren of activiteiten van de toepassing van het verdrag uitsluiten. Deze mogelijkheid wordt door het wijzigingsprotocol geschrapt en het gemoderniseerde verdrag zal daardoor voor alle partijen bij het verdrag dezelfde materiële werkingssfeer hebben.
Het gemoderniseerde verdrag zal uiteindelijk betrekking hebben op alle vormen van gegevensverwerking die onder de jurisdictie van de partijen vallen, zowel in de publieke als in de private sector. Verder wordt het niveau van gegevensbescherming ten opzichte van het huidige verdrag verhoogd door verdragspartijen te verplichten om hun nationale recht een bepaalde inhoud te geven of door aan datasubjecten rechtstreeks bepaalde rechten toe te kennen.
Het beginsel van de rechtmatige verwerking wordt nader gespecificeerd, met name voor wat betreft de eisen die worden gesteld aan de toestemming die door de datasubjecten kan worden verleend. Ook worden de verschillende categorieën bijzondere persoonsgegevens uitgebreid tot de categorieën die in het Unierecht zijn erkend en wordt de bescherming daarvan versterkt.
Daarnaast biedt het gemoderniseerde verdrag aanvullende garanties bij de verwerking van persoonsgegevens. Het gaat enerzijds om versterking van rechten van datasubjecten – met name op het gebied van transparantie en toegang tot bepaalde gegevens – en anderzijds om aanscherping van verplichtingen van de verwerkingsverantwoordelijken of de verwerkers.
Het gaat onder meer om de verplichting om de waarschijnlijke impact van een voorgenomen gegevensverwerking op de rechten en fundamentele vrijheden van de betrokken datasubjecten te onderzoeken, de verplichting om de relevante technische en organisatorische maatregelen te treffen om met die impact rekening te houden en de verplichting om ernstige inbreuken op het gebied van de gegevensbescherming te melden. Ten opzichte van het huidige verdrag worden er ook enkele nieuwe rechten ingevoerd, zoals het recht om niet te worden onderworpen aan een besluit dat louter is gebaseerd op een geautomatiseerde verwerking van persoonsgegevens en de betrokkene in aanmerkelijke mate treft, het recht om bezwaar te maken tegen de verwerking van persoonsgegevens en het recht op een voorziening in rechte in het geval van een schending van de rechten van een datasubject. In verband met de gewijzigde rechten en verplichtingen in het gemoderniseerde verdrag, brengt het wijzigingsprotocol ook enkele wijzigingen aan in het systeem van uitzonderingen dat is toegestaan op deze rechten en verplichtingen (de beperkingensystematiek).
Het advies van De Afdeling om in de toelichting te motiveren dat de bestaande uitzonderingsmogelijkheden voor defensie overeenstemmen met Conventie 108+ en zo nodig de betreffende regelgeving op dit punt aan te passen, wordt opgevolgd. Ook wordt de ministeriële regeling aangevuld met regels voor andere bijzondere persoonsgegevens dan biometrische en genetische. Verder is in paragraaf 3 van de toelichting verduidelijkt welke uitzonderingen de regeling bevat.
Kamerstukken
R2188