Brief regering : Kabinetsappreciatie onderhandeling overeenkomst EU-VS elektronisch bewijs en EU ontwerpverordening elektronisch bewijs

Nr. 551 BRIEF VAN DE MINISTER VAN JUSTITIE EN VEILIGHEID

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 1 mei 2019

Op 21 februari jongstleden heeft de vaste commissie voor Justitie en Veiligheid van
uw Kamer mij verzocht de Kamer een kabinetsappreciatie te doen toekomen op de Aanbeveling
voor een Besluit van de Raad houdende machtiging tot het openen van onderhandelingen
met het oog op een overeenkomst tussen de Europese Unie en de Verenigde Staten van
Amerika over grensoverschrijdende toegang tot elektronisch bewijsmateriaal voor justitiële
samenwerking in strafzaken van 5 februari 2019 en daarbij in te gaan op de samenhang
met de Nederlandse inzet rondom de ontwerpverordening Europese Verstrekkings- en Bewaringsbevelen
voor elektronisch bewijs (e-evidence). Graag geef ik met bijgaande kabinetsappreciatie gevolg aan dit verzoek.

De Minister van Justitie en Veiligheid, F.B.J. Grapperhaus

Kabinetsappreciatie onderhandeling overeenkomst EU-VS elektronisch bewijs en EU ontwerpverordening
elektronisch bewijs

1. Aanleiding voor een nieuwe aanpak bij de verkrijging van elektronisch bewijs

De steeds verdergaande digitalisering van de samenleving en economie heeft invloed
op de aard van de criminaliteit en van de opsporing. Steeds vaker spelen digitale
aspecten een belangrijke rol. Misdrijven worden digitaal begaan (bijvoorbeeld hacken
en het gebruik van ransomware), maar ook misdrijven die niet digitaal worden begaan,
laten steeds vaker digitale sporen na (bijvoorbeeld door gebruik van digitale berichtendiensten,
camerabeelden, zendmasten voor mobiele telefonie die worden aangestraald). Omdat bewijs
steeds vaker alleen in digitale vorm beschikbaar is, is de opsporing daarop ook steeds
meer gericht. Elektronisch bewijs, zoals IP-adressen, e-mails, foto’s of gebruikersnamen,
is vaak opgeslagen bij private aanbieders van diensten en autoriteiten voor rechtshandhaving
moeten zich tot deze aanbieders richten om de gegevens te verkrijgen.

Tegenwoordig wordt veel van de informatie die nuttig is voor strafrechtelijk onderzoek
opgeslagen in de cloud, op een server in een ander land of beheerd door aanbieders
die gevestigd zijn in andere landen. Zelfs als alle andere elementen van een zaak
zich bevinden in het land waar het onderzoek wordt uitgevoerd, kan de locatie van
de data of van de aanbieder een grensoverschrijdende situatie opleveren.

In de digitale wereld spelen landsgrenzen nauwelijks een rol, terwijl de bevoegdheden
van opsporingsautoriteit op landsgrenzen zijn gebaseerd en daardoor worden beperkt.
Het reguleren van grensoverschrijdende toegang tot elektronisch bewijs is in dit licht
een begrijpelijke en noodzakelijke beweging.

Voor het vergaren van elektronisch bewijs kunnen de nationale autoriteiten in de EU
gebruik maken van bestaande justitiële samenwerkingsinstrumenten of van vrijwillige
samenwerking met aanbieders. Voor het verlenen van rechtsbijstand binnen de EU, waaronder
het vragen van elektronische gegevens, wordt traditioneel gebruik gemaakt van de overeenkomst
inzake wederzijdse rechtshulp in strafzaken1. Deze overeenkomst wordt momenteel minder vaak gebruikt dan voorheen omdat inmiddels
het Europees onderzoeksbevel kan worden toegepast.2 Deze procedure werkt weliswaar sneller dan die van de EU-rechtshulpovereenkomst,
maar is vaak toch te traag om tijdig elektronisch bewijs te verkrijgen. De vrijwillige
samenwerking met bedrijven verloopt in het algemeen sneller, maar ontbeert betrouwbaarheid,
transparantie, verantwoording en rechtszekerheid. Om het hoofd te bieden aan deze
problematiek heeft de Europese Commissie in april 2018 een voorstel gedaan voor een
EU-verordening voor Europese verstrekkings- en bewaringsbevelen voor elektronisch
bewijs in strafzaken en voor een EU-richtlijn voor het aanwijzen van juridische vertegenwoordigers
(van bedrijven) voor het doel van het verkrijgen van elektronisch bewijs in strafprocedures.

2. Toekomstig juridisch kader EU

De EU Verordening voor het verkrijgen van elektronisch bewijs (e-evidence) heeft als
doel de autoriteiten voor rechtshandhaving in staat te stellen om sneller en gemakkelijker
over elektronisch bewijs te beschikken. Autoriteiten van een lidstaat kunnen een bewaringsbevel
of verstrekkingsbevel uitvaardigen rechtstreeks aan aanbieders in een andere lidstaat,
zonder tussenkomst van de autoriteiten van een andere betrokken lidstaat. Aanbieders
moeten binnen tien dagen antwoorden en in noodsituaties binnen zes uur. Hierdoor kunnen
onderzoeken naar terrorisme en andere delicten efficiënter worden uitgevoerd.

Gegevens die zich in een land buiten de EU bevinden kunnen op grond van internationale
rechtshulpverdragen worden gevorderd. Dergelijke vorderingen moeten worden ingediend
bij de autoriteiten van het andere land. Dit is een procedure die veel tijd vergt.
In de toekomst kunnen autoriteiten in de EU op grond van de (ontwerp)verordening ook
gegevens vorderen bij een bedrijf dat diensten aanbiedt in de EU, als die gegevens
zijn opgeslagen in een land buiten de EU. De verordening krijgt daarmee extraterritoriale
werking. De verordening voorziet onder meer in een procedure voor het geval een aanbieder
te maken krijgt met conflicterende verplichtingen. Dit betreft de situatie dat de
aanbieder op grond van de EU-verordening gegevens zou moeten verstrekken, maar de
verstrekking zou moeten weigeren op grond van het recht van het land waar de gegevens
zijn opgeslagen. In dat geval moet de aanbieder de uitvaardigende autoriteit op de
hoogte stellen en zijn bezwaar motiveren. Als de uitvaardigende autoriteit zijn verstrekkingsbevel
handhaaft dan moet deze autoriteit het oordeel vragen van de bevoegde rechter in zijn
land. Deze rechter moet nagaan of een conflict bestaat, op grond van een onderzoek
of het recht van het derde land van toepassing is, gebaseerd op de specifieke omstandigheden
van het geval en zo ja, of het recht van het derde land, ontsluiting van de betrokken
data verbiedt.

Als er volgens de rechter geen rechtsconflict is dan blijft het bevel in stand. Als
er wel een rechtsconflict wordt vastgesteld, dan moet de rechter op grond van een
aantal criteria afwegen of de data al dan niet verstrekt moeten worden. Deze criteria
zijn opgenomen in artikel 16 van de ontwerpverordening E-evidence (volgens de tekst
van de algemene oriëntatie, december 2018).

3. Standpunt van Nederland over de E-evidence-verordening

Nederland heeft ten aanzien van de ontwerpverordening E-evidence het standpunt ingenomen
dat meer waarborgen moeten worden opgenomen ten behoeve van de bescherming van grondrechten
van burgers en ten behoeve van nationale belangen, zoals nationale veiligheid en het
belang van nationale opsporingsonderzoeken. Nederland heeft daarom gepleit voor een
notificatieplicht bij het uitvaardigen van een verstrekkingsbevel inzake verkeersgegevens
en inhoudelijke gegevens. Hierbij zou de handhavende lidstaat de bevoegdheid moeten
krijgen om onder voorwaarden de verstrekking te weigeren. Bij het bereiken van de
algemene oriëntatie in de JBZ-Raad in december 2018 werd dit standpunt slechts door
een minderheid van lidstaten gedeeld. Er werd wel voorzien in een beperkt notificatiemechanisme:
bij een bevel tot verstrekking van inhoudsgegevens moet de lidstaat die het bevel
moet handhaven worden geïnformeerd door de uitvaardigende lidstaat. De lidstaten moeten
elkaar dan verdergaand informeren. De genotificeerde lidstaat kan de verstrekking
niet tegenhouden. Het uiteindelijke afweging is bij de autoriteiten van de uitvaardigende
lidstaat gelegd.

4. De gevolgen van de CLOUD Act

In mijn brief van 5 oktober 2018 informeerde ik uw Kamer over de Amerikaanse CLOUD
Act (Kamerstuk 32 317, nr. 526).

Op grond van de CLOUD Act kunnen Amerikaanse autoriteiten gegevens vorderen die in
een ander land zijn opgeslagen bij bedrijven die in Amerika hun hoofdvestiging hebben.
De wet legt vast dat vorderingen van gegevens naar Amerikaans recht extraterritoriale
werking hebben. Voordat een vordering gedaan kan worden is een bevel vereist van een
Amerikaanse rechter; hierin brengt de CLOUD Act geen wijziging. Bedrijven kunnen een
bevel tot verstrekking van gegevens aanvechten bij de Amerikaanse rechter. Deze rechter
maakt vervolgens een belangenafweging tussen de conflicterende regels en belangen
die in de wet staan.

Hiernaast maakt de CLOUD Act het mogelijk dat andere landen een verdrag sluiten met
de VS over de grensoverschrijdende toegang tot elektronisch bewijs. In dat verdrag
kunnen voorwaarden worden opgenomen waaronder autoriteiten van dat land bij in de
VS gevestigde bedrijven direct elektronisch bewijs kunnen vorderen. Momenteel is dat
niet mogelijk; een overeenkomst kan de op grond van Amerikaanse regelgeving bestaande
belemmeringen wegnemen. Dit geldt niet voor gegevens van Amerikaanse personen (U.S. persons). Hun gegevens kunnen alleen via kanalen van wederzijdse rechtshulp worden gevorderd.
Het begrip «U.S. persons» omvat natuurlijke personen met de Amerikaanse nationaliteit
en met permanent verblijfsrecht in de Verenigde Staten en bepaalde rechtspersonen,
zoals in de VS geïncorporeerde ondernemingen3.

De Europese Commissie heeft op 5 februari 2019 een aanbeveling gepresenteerd voor
een besluit van de Raad houdende machtiging tot het openen van onderhandelingen met
het oog op een overeenkomst tussen de Europese Unie en de Verenigde Staten van Amerika
over grensoverschrijdende toegang tot elektronisch bewijsmateriaal voor justitiële
samenwerking in strafzaken. De tekst van deze aanbeveling is inmiddels gewijzigd als
gevolg van overleg in de Raadswerkgroep. De actuele versie kan door uw Kamer worden
geraadpleegd via het gebruikelijke toegangsportaal voor de Raadsdocumenten.

5. Standpunt van Nederland over het mandaat voor de overeenkomst tussen de EU en de
VS

Nederland vindt het positief dat onderhandelingen worden gestart over een verdrag
tussen de EU en de VS zodat duidelijkheid wordt verkregen over de positie van bedrijven
en de rechten van burgers. Verder komt samenwerking de rechtshandhaving ten goede:
het openbaar ministerie kan in een strafrechtelijk onderzoek in bepaalde gevallen
sneller en efficiënter over gegevens beschikken.

Nederland vraagt aandacht voor twee belangrijke punten. Ten eerste het beginsel van
reciprociteit of wederkerigheid. De CLOUD Act vereist het gebruik van bestaande procedures
van wederzijdse rechtshulp voor het vorderen van gegevens van Amerikaanse personen
in de VS. Dit betekent dat gegevens van deze personen niet rechtstreeks bij de aanbieder
van (internet)diensten kunnen worden gevorderd. De consequentie van het beginsel van
wederkerigheid is dat de vordering van gegevens van «EU-personen» door Amerikaanse
autoriteiten eveneens alleen op grond van de rechtshulpverdragen kan worden gedaan.
Het doel moet zijn wederzijds overeenkomstige procedures en bevoegdheden overeen te
komen voor data van vergelijkbare (groepen van) personen.

Het tweede punt betreft de rol van de autoriteiten van het land waar de data zijn
opgeslagen, dan wel waar het (internet) bedrijf of zijn vertegenwoordiger is gevestigd.
De CLOUD Act gaat ervan uit dat de Amerikaanse autoriteiten rechtstreeks bij bedrijven,
die in de VS hun hoofdvestiging hebben, gegevens kunnen vorderen. Dit zonder tussenkomst
van de autoriteiten van een ander land. Hier ligt een analogie met de E-evidence-verordening.
Nederland vindt dat er bij de vordering van verkeersgegevens of inhoudelijke gegevens
door de Amerikaanse autoriteiten betrokkenheid moet zijn van het land waar de gegevens
zijn opgeslagen of waar de aanbieder gevestigd is. Dit land kan dan toetsen of er
gewichtige belangen zijn die zich tegen verstrekking verzetten, met name rechten van
burgers en nationale belangen, zoals nationale veiligheid. In dat geval zouden de
autoriteiten van dat land moeten kunnen interveniëren. De rol van de overheid kan
wederkerig zijn en dus ook gelden als autoriteiten uit de EU gegevens vorderen van
bedrijven in de VS.

Nederland richt zich hierbij op de meest ingrijpende gegevenscategorieën, te weten
verkeersgegevens en inhoudelijke gegevens. Verkeersgegevens («transactional data»)
zijn data die samenhangen met de voorziening in een dienst die wordt aangeboden door
een bedrijf, die ertoe dient contextuele of aanvullende informatie te geven over zo
een dienst en die wordt gegenereerd of verwerkt door een informatiesysteem of een
dienstaanbieder, zoals de bron en bestemming van een bericht, gegevens over de locatie
van de gebruikte apparatuur, datum, tijd, duur, omvang, route, format, het gebruikte
protocol, type van compressie (voor zover deze gegevens geen toegangsgegevens vormen).

Inhoudelijke gegevens («content data») betreffen data die zijn opgeslagen in een digitaal
format, zoals tekst, stem, video, afbeeldingen en geluid (voor zover deze geen abonnee-,
toegangs- of verkeersgegevens zijn).

De Europese Toezichthouder Gegevensbescherming (EDPS), heeft op 2 april 2019 advies
uitgebracht over het onderhandelingsmandaat voor de EU-VS overeenkomst over grensoverschrijdende
toegang tot elektronisch bewijs.4 Het Nederlandse standpunt is op het genoemde punt in lijn met het advies van de EDPS.
Deze toezichthouder betoogt (in paragraaf 28 op blz. 11 van zijn advies) onder meer:
«The EDPS considers that effective protection of fundamental rights in this context
requires a degree of involvement of public authorities of the requested party to the
envisaged agreement. He therefore recommends including as specific safeguard in the
negotiating directives the obligation for EU and US competent authorities to systematically
involve judicial authorities designated by the other Party as early as possible in
the process of gathering electronic evidence, in order to give these authorities the
possibility to effectively review compliance of the orders with fundamental rights
and possibly to raise grounds for refusal, on the basis of sufficient information
and within realistic deadlines».

Nederland heeft beide genoemde punten naar voren gebracht in de onderhandelingen over
het mandaat op het niveau van de Raadswerkgroepen binnen de EU. De kwestie van de
reciprociteit is in de tekst van het mandaat opgenomen. Het punt van de betrokkenheid
van de autoriteiten van het land van het bedrijf van wie data worden gevorderd, is
niet opgenomen in de tekst. Naar het zich nu laat aanzien is er geen brede steun in
de Raad voor het Nederlandse standpunt in dezen. Voor de Europese Commissie is de
tekst van de ontwerpverordening elektronisch bewijs het inhoudelijke uitgangspunt
voor de onderhandelingen met de VS, dit geldt ook voor het punt van de rol voor de
handhavende lidstaat en daarbij behorende notificatie.

6. Vervolgstappen in de besluitvorming

In de JBZ-Raad van december 2018 (Kamerstuk 32 317, nr. 532) werd over de E-evidence-verordening een algemene oriëntatie bereikt. Deze tekst
is de inhoudelijke basis voor onderhandelingen met het Europees Parlement (EP). Het
EP is nog bezig met de formulering van zijn standpunt. Ik verwacht dat het EP later
dit jaar, in zijn nieuwe samenstelling, zijn amendementen zal vaststellen. Vervolgens
zal in de triloog verder worden onderhandeld.

Het Roemeense voorzitterschap heeft in maart jongstleden aangekondigd dat het mandaat
voor de onderhandelingen over een overeenkomst tussen de EU en de VS zal worden vastgesteld
in de JBZ-Raad van 6 en 7 juni 2019. Onlangs is gebleken dat het voorzitterschap de
besluitvorming wil versnellen en het mandaat, naar verwachting medio mei, aan de permanente
vertegenwoordigers (in het Coreper) wil voorleggen, waarna het als A-punt door de
Raad kan worden vastgesteld. Ik breng dit onder uw aandacht met het oog op uw inbreng
in de Nederlandse standpuntbepaling. Mijn voornemen is om in de verschillende Raadsgeledingen
het bovengeschetste standpunt in te nemen.

Na vaststelling van het mandaat zal de Commissie met de VS onderhandelen. De procedure
voor de totstandkoming van een internationale overeenkomst is vastgelegd in artikel
218 van het Verdrag inzake de Werking van de Europese Unie (VWEU). De Commissie zal
de onderhandelingen voeren in nauw overleg met de Raad. Dit betekent onder meer dat
de Commissie (als onderhandelaar) te zijner tijd het resultaat zal voorleggen aan
de Raad, waarbij zij voorstellen zal doen voor Raadsbesluiten tot ondertekening en
sluiting van de overeenkomst. De Raad besluit met gekwalificeerde meerderheid van
stemmen. Voorafgaand aan het besluit tot sluiting is goedkeuring van het Europees
Parlement vereist. Volgens artikel 218, tiende lid, VWEU wordt het Europees Parlement
verder in iedere fase van de procedure onverwijld en ten volle geïnformeerd.

De Commissie treedt op als onderhandelaar namens de Unie. De Commissie heeft aanbevolen
dat de tekst van de E-evidence-verordening binnen het mandaat voor de Commissie de
basis zal zijn voor de onderhandelingen. Het is vooralsnog een gegeven dat deze verordening
nog niet is afgerond en dat de tekst kan worden gewijzigd naar aanleiding van de amendementen
van het Europees Parlement. De Commissie wil na vaststelling van het mandaat starten
met de onderhandelingen met de VS en daarbij het voorbehoud maken dat er pas afspraken
kunnen worden gemaakt met de VS als de verordening is afgerond, dus na de triloog
met het Europees Parlement.