Goedkeuring van het op 28 januari 1981 te Straatsburg tot stand gekomen Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 1988, 7); van het op 10 oktober 2018 te Straatsburg tot stand gekomen Protocol tot wijziging van het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 2018, 201 en Trb. 2023, 54) (36455-(R2188))

Brontekst

Staatssecretaris Rutte: Het is in alle opzichten een bijzondere dag. Voorzitter. Ik ben blij dat ik vandaag met de Kamer en de bijzondere gedelegeerde van Curaçao van gedachten kan wisselen over dit voorstel van rijkswet. Met dit wetsvoorstel wordt parlementaire goedkeuring gevraagd voor een belangrijk verdrag. Velen refereerden daar al aan: het protocol tot wijziging van Conventie 108. Daarnaast wordt voor Aruba, Curaçao en Sint-Maarten ook goedkeuring gevraagd voor Conventie 108 zelf, want in Nederland geldt die al sinds 1981 en voor Aruba, Curaçao en Sint-Maarten pakken we nu ook meteen het niveau van 108 en 108+. Conventie 108 is het dataprotectieverdrag van de Raad van Europa uit 1981. Dit verdrag stond ooit aan de wieg van het Europese gegevensbeschermingsrecht, maar kan door de technologische ontwikkelingen van de laatste decennia niet altijd meer een goed antwoord bieden op de uitdagingen waarvoor dit rechtsgebied zich tegenwoordig gesteld ziet. Velen van u zijn daarop ingegaan. De ontwikkelingen gaan razendsnel en dus is het goed dat het protocol nu wordt gemoderniseerd. Het protocol moderniseert het verdrag en brengt het in lijn met de Algemene verordening gegevensbescherming en het overige EU-gegevensbeschermingsrecht. Ratificatie van het protocol is om verschillende redenen van belang. Conventie 108 is nog altijd een belangrijk verdrag voor het Koninkrijk. Het is wereldwijd het enige verdrag over de bescherming van persoonsgegevens. Het staat ook open voor staten die geen lid zijn van de Raad van Europa. Momenteel zijn 55 staten partij bij dit verdrag, waaronder alle EU-lidstaten, andere Europese landen, zoals het Verenigd Koninkrijk, en staten buiten Europa, waaronder Mexico, Uruguay en Argentinië. In een wereld waarin internationale handel en samenwerking steeds vaker gepaard gaan met de grensoverschrijdende uitwisseling van persoonsgegevens is het van belang voor het Koninkrijk dat deze gegevens goed worden beschermd en gemakkelijk kunnen worden doorgegeven. Conventie 108 levert hieraan een belangrijke bijdrage. Daarnaast werken Nederland en de Caribische landen momenteel gezamenlijk aan de harmonisatie van het gegevensbeschermingsrecht binnen het Caribische deel van het Koninkrijk. De gemoderniseerde Conventie 108 vormt daarbij het leidende kader. Tot slot zorgt de modernisering van het verdrag door het protocol ervoor dat Europees Nederland niet langer geconfronteerd wordt met verschillende, deels zelfs tegenstrijdige verplichtingen uit hoofde van het EU-recht en de huidige Conventie 108, bijvoorbeeld als het gaat om de bescherming van persoonsgegevens bij internationale doorgifte. Dit wetstraject loopt, om verschillende redenen, inmiddels geruime tijd, veel langer dan mij lief is. Juist daarom ben ik extra blij dat uw Kamer in de drukke periode voor het verkiezingsreces tijd heeft vrijgemaakt om met mij in gesprek te gaan over deze goedkeuringswet. Dan ga ik nu in op de beantwoording van de vragen. Het zijn er behoorlijk wat. Ik kan niet helemaal uitsluiten dat in sommige beantwoording wat overlap zit, maar hopelijk leidt het alleen maar tot meer duidelijkheid en dan zijn we aan het eind van deze eerste ronde in het debat een stuk wijzer geworden. Het eerste mapje gaat over het verdrag zelf. Ik heb een vraag van mevrouw Kathmann. Zij vraagt: op welke termijn denkt de staatssecretaris dat de geratificeerde conventie van kracht kan gaan en wat gaat hij doen om erop aan te dringen dat dit zo snel mogelijk gebeurt? Het wijzigingsprotocol gaat van kracht zodra 38 verdragspartijen het hebben geratificeerd. Hoelang dat gaat duren, hangt af van het tempo van het ratificatieproces bij de verdragspartijen die nog moeten ratificeren. Ik vind het van belang dat het wijzigingsprotocol zo snel mogelijk in werking treedt. Daarvoor is het nu eerst van belang dat Nederland deze stap zet. Ik zal zeker niet nalaten om de andere verdragspartijen die nog niet geratificeerd hebben, aan te moedigen dit zo spoedig mogelijk ook te doen. Een volgende vraag van mevrouw Kathmann is: hoe verhoudt Conventie 108 zich, zowel nu en indien geratificeerd, tot de bilaterale afspraken tussen de Europese Unie en de Verenigde Staten? De verdragspartijen die lid zijn van de Europese Unie zijn gebonden aan het doorgifteregime van de Algemene verordening gegevensbescherming en het overige EU-gegevensbeschermingsrecht. Dit regime kent strenge regels voor internationale doorgifte naar derde landen, waaronder de Verenigde Staten. Afspraken tussen de Europese Unie en de Verenigde Staten die gepaard gaan met internationale doorgifte van de Europese Unie naar de Verenigde Staten moeten rekening houden met het doorgifteregime van het EU-gegevensbeschermingsrecht. Conventie 108+, waar we het vandaag over hebben, kent een regime voor doorgifte naar derde landen die geen verdragspartij zijn, zoals de VS. Dit regime is vergelijkbaar met het doorgifteregime van de Algemene verordening gegevensbescherming en het overige EU-gegevensbeschermingsrecht. Een vraag van de heer Valize. Hoe reageren de verdragspartijen van buiten de EU op de wijzigingen onder RvE 223? Mexico wordt ook genoemd als ondertekenaar van RvE 108. Het wijzigingsverdrag is reeds door 33 verdragspartijen geratificeerd, waaronder 19 EU-lidstaten en 14 niet-EU-lidstaten. Op dit moment is het verdrag door de volgende veertien niet-EU-lidstaten geratificeerd: Albanië, Andorra, Argentinië, Armenië, Bosnië en Herzegovina, IJsland, Liechtenstein, Mauritius, Monaco, Noord-Macedonië, San Marino, Servië, Uruguay en Zwitserland. En inderdaad: Mexico heeft het wijzigingsverdrag vooralsnog niet ondertekend. Nog een vraag van de heer Valize: graag een reflectie van de staatssecretaris op de rol van de EU binnen het toekomstige verdragscomité. De EU krijgt met het wijzigingsverdrag inderdaad de mogelijkheid om toe te treden tot het verdrag en het verdragscomité. Toetreding van de EU tot het verdrag zorgt voor eenduidiger buitenlandbeleid inzake gegevensbescherming, voor zover de EU exclusief bevoegd is. De lidstaten zullen ook afzonderlijk lid blijven van dit comité en zullen hun stemrecht behouden. Daarnaast kunnen de lidstaten altijd binnen EU-verband hun wensen laten horen. De EU is op het gebied van gegevensbescherming aangaande nationale veiligheid en defensie niet exclusief bevoegd. Hier gaan de lidstaten ook in dit comité zelf over. Een vraag van de heer Verkuijlen: "In de memorie van toelichting oordeelt de regering dat het wijzigingsprotocol enkele eenieder verbindende bepalingen bevat. Zegt de regering dat er verdragsbepalingen zijn die rechtstreeks kunnen worden toegepast? Gelden die rechtstreeks voor burgers, en hoe verhoudt zich dat tot de AVG?" Dat klopt inderdaad: de regering is van oordeel dat een aantal bepalingen verbindend zijn voor eenieder. Dit betekent inderdaad dat ze rechtstreeks kunnen worden toegepast. Het betreft onder meer bepalingen in de artikelen 7, 8, 10, 11 en 23. Op grond van de Rijkswet goedkeuring en bekendmaking verdragen wijst de regering eenieder verbindende bepalingen aan. Dit is gebeurd bij het wijzigingsverdrag. Deze verplichting geldt niet voor de AVG. Nog een vraag van de heer Verkuijlen: als iemand bezwaar wil maken, op welke wijze biedt het verdrag daar dan ruimte voor? Aan de hand van Conventie 108+, artikel 9, kan eenieder te allen tijde bezwaar maken tegen de verwerking van zijn of haar persoonsgegevens, tenzij de verwerkingsverantwoordelijke legitieme redenen aanvoert die zwaarder wegen dan de vrijheden of belangen van de bezwaarmaker. De klassieke weging van rechten. Een vraag van mevrouw Kathmann: beschikt het hele Koninkrijk nu over de nodige middelen en capaciteit op het gebied van toezicht en handhaving om aan de AVG-verplichtingen te voldoen? De AVG geldt alleen voor het Europese deel van Nederland. De Autoriteit Persoonsgegevens houdt toezicht op de naleving van de AVG en beschikt over voldoende middelen. Voor het Caribische deel van het Koninkrijk is Nederland samen met de Caribische landen aan het werk om wetgeving tot stand te brengen om het gegevensbeschermingsrecht in dat deel van het Koninkrijk te harmoniseren en op peil van Conventie 108+ te brengen. De beoogde wetgeving voorziet ook in een gemeenschappelijke toezichthouder. Ik zie dat dit een vraag oproept.

Versie 7443fcf11f80f54507a6cc57f45eb002c7c5ab34df083d8fab78165d42135100 · Officiële bron.