Advies Afdeling advisering Raad van State en Nader rapport : Advies Afdeling advisering Raad van State van het Koninkrijk en Nader rapport

Nr. 4
ADVIES AFDELING ADVISERING RAAD VAN STATE VAN HET KONINKRIJK EN NADER RAPPORT1

Hieronder zijn opgenomen het advies van de Afdeling advisering van de Raad van State
van het Koninkrijk d.d. 16 november 2022 en het nader rapport d.d. 17 oktober 2023,
aangeboden aan de Koning door de Minister van Buitenlandse Zaken, mede namens de Ministers
voor Rechtsbescherming, van Binnenlandse Zaken en Koninkrijksrelaties en van Defensie.
Het advies van de Afdeling advisering van de Raad van State van het Koninkrijk is
cursief afgedrukt.

Blijkens de mededeling van de Directeur van Uw kabinet van 20 juli 2022, no. 2022001614,
machtigde Uwe Majesteit de Afdeling advisering van de Raad van State van het Koninkrijk
haar advies inzake bovenvermeld verdrag en protocol rechtstreeks aan mij te doen toekomen.
Dit advies, gedateerd 16 november 2022, No. W16.22.0137/II/K, bied ik U hierbij aan.

De tekst van het advies treft u hieronder aan, voorzien van mijn reactie.

Bij Kabinetsmissive van 20 juli 2022, no.2022001614, heeft Uwe Majesteit, op voordracht
van de Minister van Buitenlandse Zaken, mede namens de Minister voor Rechtsbescherming,
de Minister van Binnenlandse Zaken en Koninkrijksrelaties en de Minister van Defensie,
bij de Afdeling advisering van de Raad van State van het Koninkrijk ter overweging
aanhangig gemaakt het voorstel van rijkswet houdende goedkeuring van het op 28 januari
1981 te Straatsburg tot stand gekomen Verdrag tot bescherming van personen met betrekking
tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 1988, 7) en goedkeuring van het op 10 oktober 2018 te Straatsburg tot stand gekomen Protocol
tot wijziging van het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde
verwerking van persoonsgegevens (Trb. 2018, 201), met memorie van toelichting.

Het voorstel strekt tot goedkeuring van het in 2018 tot stand gekomen wijzigingsprotocol
inzake het Verdrag van de Raad van Europa tot bescherming van personen met betrekking
tot geautomatiseerde verwerking van gegevens. Het protocol brengt de bescherming van
persoonsgegevens in het verdrag op hetzelfde niveau als dat van de Algemene Verordening
Gegevensbescherming (AVG) van de Europese Unie. Het protocol wijzigt het verdrag integraal,
waarna het ook wel wordt aangeduid als «Conventie 108+». Anders dan bij de AVG, valt
ook de verwerking van persoonsgegevens in het kader van defensie en van de bescherming
van de nationale veiligheid onder de werkingssfeer van het verdrag.

Het protocol wordt goedgekeurd voor het hele Koninkrijk. De toelichting bij het rijkswetsvoorstel
legt uit dat Conventie 108+ voor Europees Nederland niet noopt tot wijziging van regelgeving.
Voor de Caribische delen van het Koninkrijk zal in een later stadium regelgeving tot
stand worden gebracht.

De Afdeling advisering van het Koninkrijk maakt opmerkingen over de bestaande ministeriële
regeling voor de verwerking van persoonsgegevens in militaire operaties. Zij wijst
erop dat Conventie 108+ aanleiding vormt het aparte verwerkingsregime voor militaire
operaties op hoofdlijnen in de wet vast te leggen en op onderdelen te verduidelijken.

Daarnaast geeft de Afdeling, zoals gevraagd door de Minister van Binnenlandse Zaken
en Koninkrijksrelaties, een reflectie op de betekenis van Conventie 108+ voor de nationale
veiligheid en de inlichtingen- en veiligheidsdiensten. Zij merkt op dat de Wet op
de inlichtingen- en veiligheidsdiensten 2017 nauw aansluit op de algemene beginselen
van het gegevensbeschermingsrecht. Op enkele punten vindt de Afdeling het aangewezen
dat de verhouding tot Conventie 108+ wordt verduidelijkt.

Tot slot wijst de Afdeling erop dat de eisen die Conventie 108+ stelt aan het gegevensbeschermingsrecht
significant hoger zijn dan de thans in het Caribische deel van het Koninkrijk geldende
wettelijke kaders. Zij adviseert in de toelichting te verduidelijken wat ervoor nodig
is om op de eilanden te voorzien in het benodigde niveau van bescherming.

In verband met deze opmerkingen is aanpassing wenselijk van de toelichting, en zo
nodig van het wetsvoorstel.

1. Achtergrond en inhoud

Conventie 108 uit 1981 is het gegevensbeschermingsverdrag van de Raad van Europa,
dat ook open staat voor staten die geen lid zijn van de Raad van Europa. Conventie 108
is van kracht voor 55 staten, waaronder alle lidstaten van de EU, Turkije, Marokko,
Mexico en Argentinië. Voor wat betreft het Koninkrijk geldt het verdrag voor het Europese
en Caribische deel van Nederland.

Het goedkeuringsrijkswetsvoorstel heeft betrekking op het protocol tot wijziging van
Conventie 108, dat in 2018 tot stand is gekomen. De wijzigingen die het protocol aanbrengt,
zijn zodanig dat er materieel vrijwel een geheel nieuw verdrag ontstaat, ook wel aangeduid
als Conventie 108+. De belangrijkste inhoudelijke wijziging is dat met dit protocol
de bescherming van persoonsgegevens in de Conventie op hetzelfde niveau wordt gebracht
als dat van de Algemene Verordening Gegevensbescherming (AVG)2 en de Richtlijn opsporing en vervolging.3 De Conventie heeft, anders dan de AVG en de Richtlijn, ook betrekking op de verwerking
van persoonsgegevens ten behoeve van defensie en de nationale veiligheid. Het protocol
trekt daarnaast de materiële werkingssfeer voor alle verdragspartijen gelijk, nu het
de mogelijkheid uit de oude Conventie 108 schrapt om zelf sectoren of activiteiten
uit te sluiten van toepassing van het verdrag.

Conventie 108+ voorziet wel in een uitzonderingsregime en somt de uitzonderingsmogelijkheden
limitatief op. Daarbij gaat het om mogelijke uitzonderingen op de algemene beginselen
van gegevensbescherming (art. 5, vierde lid), de verplichting tot de melding van datalekken
(art. 7, tweede lid), de informatieverplichting jegens de betrokkene (art. 8) en de
individuele rechten van de betrokkene (art. 9).4 Een uitzondering op de rechten en verplichtingen in deze bepalingen moet aan enkele
algemene eisen voldoen. Zij moet:

– bij wet zijn voorzien;

– noodzakelijk en proportioneel zijn in een democratische samenleving en

– in het belang zijn van een of meer van de specifiek genoemde doelen.5

Voor defensie en de bescherming van de nationale veiligheid zijn er aanvullende uitzonderingsmogelijkheden.
Deze uitzonderingen mogen geen afbreuk doen aan het vereiste van onafhankelijk en
effectief toezicht zoals waarin is voorzien in de nationale wetgeving.6

Het rijkswetsvoorstel keurt Conventie 108 goed voor Aruba, Curaçao en Sint Maarten.7 Daarnaast wordt voorgesteld het wijzigingsprotocol goed te keuren voor het gehele
Koninkrijk.8

De toelichting meldt dat het wijzigingsprotocol in het Europese deel van Nederland
geen verandering met zich mee brengt voor de domeinen die onder de AVG en de richtlijn
vallen. Voor het onderwerp defensie geldt dat de verwerking van persoonsgegevens al
binnen het toepassingsbereik van de AVG is gebracht, met de mogelijkheid hiervan af
te wijken indien noodzakelijk met het oog op de inzet van de krijgsmacht (zie hierna
punt 2).9 De werkzaamheden van de AIVD en de MIVD, wier taken uitsluitend op het terrein van
de nationale veiligheid liggen, zijn gereguleerd in de Wet op de inlichtingen- en
veiligheidsdiensten 2017 (Wiv 2017). Dit wettelijk kader valt niet onder de AVG, maar
nu wel onder Conventie 108+. De toelichting geeft aan dat de Wiv 2017 in lijn is met
de in de beperkingssystematiek van de Conventie en geen wijziging behoeft.

Dat is anders voor het Caribische deel van Nederland en voor Aruba, Curaçao en Sint
Maarten. De toelichting meldt dat het verdrag en het wijzigingsprotocol pas zullen
worden geratificeerd als de benodigde uitvoeringwetgeving gereed is.

In dit advies zal de Afdeling achtereenvolgens ingaan in punt 2 op het onderwerp defensie,
in punt 3 op de nationale veiligheid en de inlichtingen- en veiligheidsdiensten, in
punt 4 op de Koninkrijkspositie en in punt 5 op de eenieder verbindende bepalingen.
In punt 3 wordt tevens antwoord gegeven op de specifieke vraag die de Minister van
Binnenlandse Zaken en Koninkrijksrelaties (BZK) bij de aanvraag voor het advies aan
de Afdeling heeft gesteld. Deze heeft betrekking op de verhouding van de Wiv 2017
tot het uitzonderingsregime van Conventie 108+ en het belang van de nationale veiligheid.

2. Defensie

a. Niveau van regelgeving

Hoewel de AVG formeel niet van toepassing is op defensie,10 zijn de regels voor gegevensbescherming voor defensie bij de totstandkoming van de
Uitvoeringswet AVG (UAVG) gelijkgetrokken met de AVG.11 De UAVG maakt wel een uitzondering hierop mogelijk: de UAVG en de AVG zijn niet van
toepassing op de verwerking van persoonsgegevens door de krijgsmacht, indien de Minister
van Defensie daartoe «beslist met het oog op de inzet of het ter beschikking stellen
van de krijgsmacht.»12 Op grond van de UAVG specificeert de Regeling Gegevensbescherming Militaire Operaties
welke bepalingen uit de AVG en de UAVG buiten toepassing blijven. Deze uitzonderingen
gelden alleen voor zover dat noodzakelijk is voor de uitvoering van het mandaat en
de bescherming van de troepenmacht.13

Conventie 108+ ziet als het gegevensbeschermingsverdrag van de Raad van Europa ook
op aangelegenheden van defensie. De toelichting gaat uitsluitend in op de vraag of
het stelsel van uitzonderingen en beperkingen voor defensie in lijn is met de beperkingssystematiek
van Conventie 108+.14 De Afdeling acht dat begrijpelijk maar merkt op dat in de nadere uitwerking van de
noodzakelijke regels ook artikel 10 Grondwet moet worden betrokken. De bescherming
van persoonsgegevens op grond van Conventie 108+ en de AVG is immers een uitwerking
van het recht op eerbiediging van de persoonlijke levenssfeer zoals neergelegd in
artikel 10 van de Grondwet.15

Artikel 10, eerste lid, Grondwet staat bij of krachtens de wet beperkingen van het
daarin gewaarborgde recht toe. De wetgever dient daartoe de reikwijdte en structurele
elementen van een beperking in de wet zelf vast te leggen.16 Aan deze verplichting wordt geen recht gedaan als de concrete invulling vrijwel geheel
wordt overgelaten aan lagere regelgeving.17 Een nadere uitwerking van de beperking kan plaatsvinden bij algemene maatregel van
bestuur (amvb) indien een wet in formele zin hiervoor de delegatiegrondslag biedt.
Een ministeriële regeling leent zich enkel voor technische voorschriften of voorschriften
die met spoed gewijzigd moeten kunnen worden.18

Gelet op artikel 10 Grondwet is de uitzonderingsmogelijkheid voor defensie in de UAVG
te onbepaald. De wet specificeert niet welke bepalingen van de UAVG en de AVG buiten
toepassing kunnen blijven. Evenmin blijkt uit de wet op welke wijze de verwerking
van persoonsgegevens in militaire operaties op hoofdlijnen zal plaatsvinden. De UAVG
laat de nadere regeling geheel over aan de genoemde ministeriële regeling.

De Afdeling merkt op dat de goedkeuring van Conventie 108+ aanleiding vormt deze bestaande
systematiek meer in overeenstemming te brengen met artikel 10 van de Grondwet. Zij
adviseert in elk geval op hoofdlijnen wettelijk te verankeren welke beperkingen zijn
toegestaan en wat hiervoor de randvoorwaarden zijn en voorts een delegatiegrondslag
in de wet op te nemen waarin bepaalt wordt dat bij of krachtens algemene maatregel
van bestuur nadere regels worden gesteld.

Allereerst hecht de regering eraan te benadrukken dat de in artikel 3 UAVG opgenomen
uitzonderingsmogelijkheid ziet op de bijzondere situatie van inzet van de krijgsmacht
in internationale militaire operaties. Bij dergelijke inzet kan niet worden gevergd
dat alle bepalingen van de (U)AVG onverkort worden toegepast. Zoals ook in de memorie
van toelichting bij de UAVG is verwoord, laten de omstandigheden waarin de krijgsmacht
in die situaties soms moet functioneren, dat niet altijd toe en werd het door de wetgever
wenselijk geacht om de Minister van Defensie de bevoegdheid te geven om op de (U)AVG
een uitzondering te maken als er sprake is van daadwerkelijke operationele inzet van
de krijgsmacht19. De AVG laat voor deze uitzondering de ruimte. De mogelijkheid voor de Minister van
Defensie om in het geval van militaire operaties af te wijken van de reguliere wettelijke
privacybepalingen bestaat in de kern al sinds de inwerkingtreding van de Wet bescherming
persoonsgegevens uit 2002, onder hetzelfde Grondwetsregime.

Voor een goed begrip zij voorts opgemerkt dat het uitzonderingsregime in artikel 3
UAVG en de nadere uitwerking in de Regeling gegevensbescherming militaire operaties
alleen ziet op de verwerking van persoonsgegevens van niet-Nederlanders en alleen
van toepassing is tijdens militaire inzet in het buitenland. Hierbij dient bijvoorbeeld
te worden gedacht aan de verwerking van persoonsgegevens in het kader van inlichtingenvergaring
omtrent de vijandelijke partij. Begrijpelijkerwijs zal in een militaire operatie een
lid van de vijandelijke partij niet overeenkomstig de AVG in kennis wordt gesteld
wanneer gegevens over hem worden verwerkt.

Recentelijk is in het wetsvoorstel Verzamelwet gegevensbescherming voorgesteld artikel 3
UAVG in die zin aan te scherpen dat daarin geëxpliciteerd wordt dat aan dit artikel
door middel van een (voor militaire missies geldende) ministeriële regeling of besluit
uitvoering wordt gegeven, waarbij van de bepalingen van de (U)AVG wordt afweken. Dit
onderdeel van het wetsvoorstel gaf de Afdeling in haar advies van 16 maart 2022 geen
aanleiding tot commentaar.20 Ook de Autoriteit Persoonsgegevens onderschreef in haar advies met betrekking tot
dat wetsvoorstel de wenselijkheid van deze aanvulling.21 Zoals ook in de memorie van toelichting bij het wetsvoorstel Verzamelwet gegevensbescherming
is aangegeven, zal de ingevolge artikel 50 UAVG uitgevoerde evaluatie van de UAVG
naar verwachting aanleiding kunnen geven tot een nieuw wijzigingsvoorstel van de UAVG.22 Niettegenstaande het voorgaande zal bij gelegenheid van dat wetsvoorstel het advies,
onder punt 2a, van de Afdeling nader worden bezien.

b. Verwerking van persoonsgegevens in de ministeriële regeling

De Regeling Gegevensverwerking Militaire Operaties somt op in welke gevallen de AVG
en de UAVG niet van toepassing zijn op de verwerking van persoonsgegevens voor zover
dat noodzakelijk is voor, kortweg, het belang van de militaire operatie. Daarin wordt
uitzondering gemaakt op de voorschriften voor de verwerking van bijzondere persoonsgegevens
en strafrechtelijke gegevens (artikelen 9 en 10 AVG en 22–30 UAVG), de rechten van
betrokkene (hoofdstuk III AVG), de meldplichten, de privacy impact assessment en de
voorafgaande raadpleging toezichthouder (artikelen 33–36 AVG).23

De toelichting stelt dat dit uitzonderingsregime in lijn is met de beperkingensystematiek
van Conventie 108+.24 De Afdeling onderschrijft dit standpunt in algemene zin maar meent dat op een enkel
onderdeel de inhoud van de ministeriële regeling in het licht van Conventie 108+ vragen
oproept.

Zo voorziet Conventie 108+ niet in een uitzondering op de verplichting na te gaan
wat de privacy impact is van de verwerking van persoonsgegevens,25 terwijl de ministeriële regeling die ruimte wel biedt in de vorm van een uitzondering
om een formele Privacy Impact Assesment uit te voeren.26 Daarbij is de vraag hoe ver de Conventie 108+ op dit punt precies reikt en hoe de
ministeriële regeling zich hiertoe verhoudt. De toelichting gaat hier niet op in.

Daarnaast is niet duidelijk in hoeverre het aparte verwerkingsregime voor bijzondere
persoonsgegevens dat de ministeriële regeling voorschrijft, in overeenstemming is
met Conventie 108+. Conventie 108+ stelt hiervoor als voorwaarde dat er «appropriate
safeguards» zijn, die het verdrag aanvullen.27 De ministeriële regeling verklaart de bepalingen van de AVG en de UAVG over bijzondere
persoonsgegevens buiten toepassing. Het voorziet vervolgens echter alleen voor de
verwerking van biometrische en genetische persoonsgegevens in een apart verwerkingsregime.28 Voor de verwerking van andere bijzondere persoonsgegevens, zoals die betreffende
gezondheid, ras of religie, worden geen aparte regels gesteld. Met het ontbreken van
een apart regime voor deze gegevens zou kunnen worden aangenomen dat verwerking hiervan
in lijn met de hoofdregel van de AVG en de UAVG, niet is toegestaan. De regeling is
op dit punt echter niet duidelijk. Ook de toelichting bij de goedkeuringswet verschaft
hierin geen helderheid.

De Afdeling adviseert in de toelichting te motiveren dat de bestaande uitzonderingsmogelijkheden
voor defensie overeenstemmen met Conventie 108+ en zo nodig de betreffende regelgeving
op dit punt aan te passen.

Hoewel er ruimte zit tussen de verplichting uit Conventie C108+ om na te gaan wat
de privacy impact is van gegevensverwerkingen en een formele gegevensbeschermingseffectbeoordeling
op basis van de AVG, merkt de Afdeling terecht op dat Conventie 108+ niet voorziet
in een uitzondering op de verplichting na te gaan wat de privacy impact is van de
verwerking van persoonsgegevens. Om die reden kiest de regering ervoor om deze uitzondering
in de ministeriële regeling te laten vervallen. De bezwaren tegen overeenkomstige
toepassing van artikel 35 AVG voor buitenlandse operaties die ten grondslag lagen
aan de uitzondering worden ondervangen door een algemene gegevensbeschermingseffectbeoordeling
voor operaties uit te voeren. Hiermee wordt gevolg gegeven aan het advies van de Afdeling
op dit punt.

Voorts wijst de Afdeling er in haar advies terecht op dat in de ministeriële regeling
geen aparte regels gesteld worden voor andere bijzondere persoonsgegevens dan biometrische
en genetische persoonsgegevens. Ingevolge het advies van de Afdeling zal de ministeriële
regeling op dit punt worden aangevuld.

Naar aanleiding van het advies van de Afdeling is in paragraaf 3 van de toelichting
verduidelijkt welke uitzonderingen de regeling bevat, inclusief de aanpassingen die
zoals hierboven toegelicht, met betrekking tot de uitzonderingen inzake de bijzondere
persoonsgegevens en de privacy impact assessment, zullen worden doorgevoerd. In de
reeds opgenomen tekst zijn daarnaast enkele redactionele toevoegingen gedaan.

3. Nationale veiligheid en de inlichtingen- en veiligheidsdiensten

a. Vraag van de Minister van BZK

Bij de aanvraag voor het advies over de goedkeuringswet heeft de Minister van Binnenlandse
Zaken en Koninkrijksrelaties (BZK) aan de Afdeling gevraagd aandacht te schenken aan
het uitzonderingsregime van Conventie 108+ en het belang van de nationale veiligheid.
De Minister geeft aan dat met de Wet op de inlichtingen- en veiligheidsdiensten 2017
(Wiv 2017) is voldaan in het vereiste dat een uitzondering bij wet moet zijn voorzien.
Het is volgens de Minister niet nodig een expliciete verwijzing naar de uitzonderingsclausule
uit het verdrag op te nemen. De Wiv 2017 behoeft daarmee naar het oordeel van de Minister
geen aanpassing. De Minister vraagt of de Afdeling zich in deze benadering kan vinden.

Naar aanleiding van deze vraag reflecteert de Afdeling in het navolgende op (b) de
Conventie 108+ in relatie tot de Wiv 2017, (c) het begrip nationale veiligheid, en
(d) de betekenis van het begrip effectief toezicht.

b. Conventie 108+ en de Wiv 2017

De Wiv 2017 voorziet in een uitgewerkt gegevensverwerkingsregime voor de inlichtingen-
en veiligheidsdiensten. Het regime is geënt op de jurisprudentie van het EHRM en sluit
nauw aan op de algemene beginselen van het gegevensbeschermingsrecht. Een expliciete
verwijzing in de wet naar Conventie 108+ is niet noodzakelijk. Wel dient duidelijk
te zijn op welke wijze de Wiv 2017 overeenstemt met dan wel afwijkt van Conventie 108+.
In de toelichting bij het voorstel voor deze goedkeuringswet wordt hierop ingegaan.29 Met het oog daarop merkt de Afdeling het volgende op.

i. Conventie 108+ staat beperkingen toe op de rechten die het verdrag aan betrokkenen
toekent.30 De toelichting stelt enerzijds dat vanwege geheimhouding onder de Wiv 2017 de rechten
van betrokkenen mogen worden beperkt en anderzijds dat de Wiv 2017 voorziet in rechten
voor betrokkenen.31 De toelichting specificeert daarbij niet van welke uitzonderingsmogelijkheid uit
de Conventie 108+ nu wel en geen gebruik wordt gemaakt en wat hiervan de motivering
is.

De Afdeling adviseert de toelichting op dit punt aan te vullen.

Het advies van de Afdeling is op dit punt overgenomen. Paragraaf 4 van de memorie
van toelichting is naar aanleiding hiervan uitgebreid met twee nieuwe alinea’s. In
deze twee alinea’s wordt verduidelijkt welke weigeringsgronden en beperkingen, die
voortvloeien uit de Wiv 2017, enkele rechten uit artikel 9 (nieuw) van Conventie 108+
in het belang van de nationale veiligheid kunnen beperken. Deze beperkingen en weigeringsgronden
zien toe op het recht op inzage (artikel 9, eerste lid, sub b (nieuw), het recht op
kennisname van de redenen die ten grondslag liggen aan een verwerking (artikel 9,
eerste lid, sub c (nieuw)) en op het recht op correctie en verwijdering van gegevens
(artikel 9, eerste lid, sub e (nieuw)).

ii. Daarnaast kent Conventie 108+ aan toezichthouders de taak toe te worden geconsulteerd
over nieuwe regelgeving.32 Hierop is geen uitzondering toegestaan. In de Wiv 2017 is dit nu nog niet opgenomen
als wettelijke taak voor de CTIVD en de andere toezichthouder, de Toetsingscommissie
Inzet Bevoegdheden (TIB). De adviestaak van de AP is wel wettelijk vastgelegd.33 De toelichting gaat niet in op de vraag waarom deze bevoegdheid niet ook voor de
genoemde toezichthouders in de wet wordt geregeld.

De Afdeling adviseert in de toelichting op het voorgaande in te gaan en de Wiv 2017
zo nodig aan te passen.

Gelet op het advies van de Afdeling is paragraaf 4 van de memorie van toelichting
uitgebreid met een alinea, met daarin een nadere beschouwing over de verplichting
uit artikel 15 (nieuw), derde lid, Conventie 108+ om toezichthouders te consulteren
over nieuwe wet- en regelgeving die ziet op de verwerking van persoonsgegevens. In
deze nieuwe alinea is uiteengezet dat, anders dan is geregeld in artikel 57 AVG, eerste
lid, onder c waarin de adviserende rol van de AP als taak is opgenomen, artikel 15,
(nieuw) van Conventie 108+ een oproep bevat aan de verdragspartijen om de toezichthouders
te consulteren. Ingevolge het Draaiboek voor de Regelgeving (nr. 18 e.v.) en de Aanwijzingen
voor de Regelgeving (nr. 4.44) worden de Commissie van Toezicht op de Inlichtingen-
en Veiligheidsdiensten (CTIVD) en de Toetsingscommissie Inzet Bevoegdheden (TIB) conform
vaststaande beleid en praktijk namelijk altijd geconsulteerd bij nieuwe regelgeving,
waarmee aan deze verplichting uit Conventie C108+ wordt voldaan. Gelet hierop acht
de regering het niet nodig om de Wiv 2017 op dit punt aan te passen.

Verder is van de gelegenheid gebruik gemaakt om paragraaf 4 te voorzien van enkele
redactionele aanpassingen, en is de datum van het voorstel voor een Tijdelijke wet
onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma gecorrigeerd.
Bij dit voorstel staat tevens nu opgenomen dat het aan de Tweede Kamer is aangeboden.

c. Nationale veiligheid

In EU verband wordt de bescherming van de nationale veiligheid gezien als een essentiële
staatsfunctie die exclusief valt onder de verantwoordelijkheid van de lidstaten.34 Om die reden bepaalt de UAVG dan ook dat de AVG niet van toepassing is op de verwerking
van persoonsgegevens door de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en
de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) op basis van de Wiv 2017.35 Conventie 108+ ziet wel op gegevens die worden verwerkt in het kader van taken ten
behoeve van de bescherming van de nationale veiligheid. De Commissie van Toezicht
op de Inlichtingen- en Veiligheidsdiensten (CTIVD) en de Toetsingscommissie Inzet
Bevoegdheden (TIB) hebben in hun gezamenlijke memo over Conventie 108+ bepleit dat
het verdrag aanleiding vormt ook andere organisaties die zich met nationale veiligheid
bezighouden onder één toezichthouder te brengen.36

De toelichting stelt dat de AIVD en de MIVD als enige organisaties heimelijk persoonsgericht
onderzoek uitvoeren dat zich uitsluitend in het domein van de nationale veiligheid
bevindt. Dat brengt specifieke beperkingen met zich mee die uitzonderingen op het
gegevensbeschermingsrecht rechtvaardigen. Andere organisaties, zoals bijvoorbeeld
de Nationaal Coördinator Terrorisme en Veiligheid (NCTV), zijn weliswaar betrokken
bij de bescherming van de nationale veiligheid maar hebben niet een vergelijkbare
onderzoekstaak en vervullen vooral andere werkzaamheden. In die gevallen volstaat
het algemene gegevensbeschermingsrecht en het toezicht van de AP, aldus de toelichting.37

Deze zelfde redenering is gehanteerd in de toelichting op het wetsvoorstel dat beoogt
een wettelijke basis te geven aan de verwerking van persoonsgegevens door de NCTV.38 De Afdeling onderschreef deze lezing in haar advies over dat wetsvoorstel.39 Conventie 108+ sluit aan bij de door het Europees Hof voor de Rechten van de Mens
(EHRM) ontwikkelde definitie van nationale veiligheid.40 Bovendien biedt het de lidstaat de ruimte om de bepalingen van het verdrag in overeenstemming
met het eigen nationale constitutionele recht te implementeren. Op dit punt ziet de
Afdeling, net als de regering, geen aanleiding bestaande regelgeving aan te passen.

d. Effectief toezicht

Conventie 108+ bepaalt dat toezichthouders beschikken over «powers of investigation
and intervention» alsmede over «powers to [...] impose administrative sanctions».41 Hierop kunnen uitzonderingen worden gemaakt, maar daarbij moet het vereiste van onafhankelijk
en effectief toezicht geborgd zijn.42 Op basis van de Wiv 2017 beschikt de TIB over bindende bevoegdheden, maar de CTIVD
niet.

De CTIVD en de TIB hebben hun gezamenlijke memo over Conventie 108+ aangegeven dat
effectief toezicht bindend toezicht impliceert. Het ontbreken van deze bevoegdheden
zou niet te rijmen zijn met de geldende internationaalrechtelijke normen.43 In de toelichting wordt dit genuanceerd, met verwijzing naar het rapport van de Evaluatiecommissie
Wiv 2017. De Evaluatiecommissie concludeert dat, hoewel het toezicht van de CTIVD
niet bindend is, het wel bijzonder effectief is.44 Ook worden uitspraken van het EHRM aangehaald waar uit blijkt dat het Hof niet-bindend
toezicht onder omstandigheden als onafhankelijk en effectief aanmerkt.45

De Afdeling onderschrijft het, ook in recente advisering verwoord, uitgangspunt dat,
ondanks het feit dat het EHRM een voorkeur heeft voor bindend toezicht, het er blijkens
diens rechtspraak vooral om gaat dat het stelsel als geheel waarborgen bevat die in
hun onderlinge samenhang adequate en effectieve garanties bieden tegen willekeur en
het risico van misbruik.46 Op dit punt ziet de Afdeling dan ook geen noodzaak de bestaande regelgeving naar
aanleiding van Conventie 108+ aan te passen.

Paragraaf 5 van de memorie van toelichting is uitgebreid met een verwijzing naar paragraaf 3.d
Effectief toezicht van het advies van de Afdeling. Daarnaast is paragraaf 5 van de toelichting voorzien
van enkele redactionele aanpassingen.

4. Koninkrijkspositie

De AVG is niet van toepassing op het Caribische deel van het Koninkrijk. Conventie 108
geldt wel voor het Caribische deel van Nederland. De Wet persoonsgegevens BES is hierop
gebaseerd. In de Caribische landen geldt Conventie 108 niet. De landen hebben voor
de gegevensbescherming ieder hun eigen landsverordeningen.

De consultatieversie van het voorstel keurde het wijzigingsprotocol enkel goed voor
het Europese deel van Nederland. Als reden hiervoor werd aangedragen dat Nederland
had toegezegd het protocol binnen drie jaar na ondertekening te ratificeren. De Minister
achtte dit niet haalbaar voor het Caribische deel van Nederland omdat hiervoor wijziging
van de Wet persoonsgegevens BES nodig was en uitbreiding van de taken van de Commissie
van toezicht bescherming persoonsgegevens-BES. Dit zou meer tijd kosten, ook omdat
los hiervan eerst een evaluatieonderzoek van de Wet persoonsgegevens BES zou moeten
plaatsvinden. Voor de Caribische landen gold bovendien dat uitvoeringswetgeving nog
gemaakt moest worden. De Minister gaf aan dat te zijner tijd voor één of meer delen
van het Koninkrijk een separate parlementaire goedkeuringsprocedure zou worden opgestart.

De Autoriteit Persoonsgegevens benadrukte in reactie op de consultatieversie van het
voorstel het belang van een gelijkwaardige bescherming van persoonsgegevens binnen
het Koninkrijk. Omdat binnen het Koninkrijk veel persoonsgegevens worden uitgewisseld,
dient de bescherming op hetzelfde niveau te zijn. Daarbij is Conventie 108+ een uitwerking
van het door artikel 8 van het Europees Verdrag tot bescherming van de rechten van
de mens en de fundamentele vrijheden (EVRM) beschermde recht op eerbiediging van de
persoonlijke levenssfeer. De AP adviseerde daarom het wijzigingsprotocol voor het
hele Koninkrijk goed te keuren en te voorzien in een nadere vermelding van de wijze
waarop een tijdige totstandkoming van uitvoeringswetgeving kan worden bewerkstelligd.47

Naar aanleiding van dit advies is het voorstel aangepast naar een voorstel van Rijkswet
waarbij Conventie 108 ook wordt goedgekeurd voor Aruba, Curaçao en Sint Maarten.48 Daarnaast wordt voorgesteld het wijzigingsprotocol goed te keuren voor het gehele
Koninkrijk.49 De toelichting meldt dat voor het Caribische deel van Nederland de geldende regelgeving
wordt aangepast en dat voor Aruba, Curaçao en Sint Maarten consensusrijkswetgeving
tot stand zal worden gebracht. Er is een aantal domeinen dat niet mee zal worden genomen
in de consensusrijkswet, te weten het domein van de inlichtingen- en veiligheidsdiensten,
van de verkiezingen en van de basisadministratie persoonsgegevens. Deze domeinen zullen
separaat door de landen zelf worden beoordeeld en nader geregeld.50 Uit de toelichting blijkt niet waarom voor deze domeinen wordt gekozen voor een afwijkende
wettelijke voorziening. Het verdrag en het wijzigingsprotocol zullen voor het Caribische
deel van het Koninkrijk worden geratificeerd als de benodigde uitvoeringwetgeving
gereed is.

De Afdeling onderschrijft het belang van een goede bescherming van persoonsgegevens
in het Caribische deel van het Koninkrijk. Zij constateert echter dat het invoeren
van een adequaat niveau van bescherming op de eilanden in de praktijk niet eenvoudig
is gebleken.51 De eisen die Conventie 108+ hieraan stelt zijn significant hoger dan de thans geldende
wettelijke kaders. De toelichting geeft geen inzicht in wat er voor nodig is om de
benodigde regelgeving tot stand te brengen en wat vervolgens noodzakelijk is om de
uitvoering hiervan voor te bereiden en effectief te realiseren.

De Afdeling adviseert in het licht van het voorgaande in de toelichting nader in te
gaan op het tijdpad en de aanpak voor zowel de totstandkoming van de noodzakelijke
wetgeving als de effectieve uitvoering daarvan. In het bijzonder het laatste verdient
gelet op de effectiviteit van wetgeving concrete aandacht. Daarnaast adviseert zij
in de toelichting te motiveren waarom de genoemde domeinen niet zullen worden meegenomen
in de voorgenomen consensusrijkswet en daarbij in te gaan op de vraag op welke wijze
voor deze terreinen wordt gegarandeerd dat aan de verplichtingen die ook voor deze
domeinen voortvloeien uit Conventie 108+, zal worden voldaan.

Aan het advies van de Afdeling is gevolg gegeven door de toelichting, onder paragraaf 3
Uitvoering van het wijzigingsprotocol, aan te vullen.

Aan paragraaf 3 is allereerst een passage toegevoegd waarin nader wordt ingegaan op
het tijdpad en de aanpak voor zowel de totstandkoming als de uitvoering van de consensusrijkswet,
waarmee een geharmoniseerd en verhoogd beschermingsniveau voor de verwerking van persoonsgegevens,
waaronder begrepen de persoonsgegevens die in het politie- en justitiedomein worden
verwerkt, binnen de Caribische delen van het Koninkrijk zal worden gerealiseerd. Zoals
daaruit blijkt, is de aanpak er zo mogelijk op gericht de betrokken bestuurders, overheidsorganisaties
en stakeholders in een vroeg stadium te betrekken bij de totstandkoming en uitvoering
en inzicht te verschaffen in de financiële en andere consequenties van de consensusrijkswet
zodat zij tijdig voorbereidingen kunnen treffen.

Ingevolge het advies van de Afdeling om te motiveren waarom de domeinen van de inlichtingen-
en veiligheidsdiensten, van de verkiezingen en van de basisadministratie persoonsgegevens
niet meegenomen worden in de consensusrijkswet, is voorts een passage toegevoegd waarin
toegelicht wordt dat de wettelijke regelingen die op deze domeinen zien, naar hun
aard niet passen in een gegevensbeschermingsregeling zoals de consensusrijkswet en
dat het opnemen van deze domeinen in de consensusrijkswet de omvang en complexiteit
van deze wet dusdanig zou doen toenemen dat het de totstandkoming en uitvoering daarvan
in de weg zou kunnen zitten.

Op advies van de Afdeling is daarnaast een passage toegevoegd waarin ingegaan wordt
op de vraag op welke wijze voor voornoemde domeinen wordt gegarandeerd dat aan de
verplichtingen die uit Conventie 108+ voortvloeien, zal worden voldaan. Zoals in de
toelichting is vermeld, is het streven om de wettelijke regelingen met betrekking
tot deze domeinen stapsgewijs in lijn te brengen met de vereisten van het gemoderniseerde
verdrag. Voor wat betreft het Caribisch deel van het Koninkrijk zal, voor de domeinen
van de verkiezingen en van de basisadministratie persoonsgegevens, in nauwe samenwerking
tussen de Caribische landen en Caribisch Nederland worden beoordeeld welke uitvoeringswetgeving
wenselijk en benodigd is, waarbij de ambitie aanwezig is om gedoseerd en zorgvuldig
naar het niveau van bescherming toe te werken dat beantwoordt aan de standaarden van
Conventie 108+. Dit past wat betreft Caribisch Nederland ook binnen het principe van
«comply or explain».

De Afdeling constateert in dit verband terecht dat het invoeren van een adequaat niveau
van bescherming op de eilanden in de praktijk niet eenvoudig is gebleken. De uitvoerbaarheid
en werkbaarheid van de huidige gegevensbeschermingsregelingen betekenen voor hen nu
reeds een uitdaging. Gelet op de omvang van de door Conventie 108+ bestreken terreinen
en de reeds geleverde en nog te leveren inspanningen in verband met de totstandkoming
en invoering van de consensusrijkswet, acht de regering, voor de genoemde domeinen,
een zekere mate van temporisering passend.

5. Een ieder verbindende bepalingen

Als een verdrag ter goedkeuring wordt voorgelegd aan de Staten-Generaal, moet worden
aangegeven of het verdrag naar het oordeel van de regering bepalingen bevat die naar
hun inhoud een ieder kunnen verbinden en, indien dit het geval is, welke bepalingen
het betreft.52 Het gaat om een voorlopig oordeel; in het concrete geval is het oordeel aan de rechter.
Een bepaling is «een ieder verbindend» (heeft rechtstreekse werking) als zij onvoorwaardelijk
en voldoende nauwkeurig is om in de nationale rechtsorde zonder meer als objectief
recht te kunnen worden toegepast.53

De toelichting bij de goedkeuringswet noemt een drietal een ieder verbindende bepalingen
in Conventie 108+: artikel 5 (legitimacy of data processing and quality of data),
artikel 9 (rights of the data subject) en artikel 18 (assistance tot data subjects).
Uit deze bepalingen kunnen rechten worden afgeleid waar een ieder een beroep op kan
doen. De Afdeling merkt op dat dit mogelijk ook geldt voor een tweetal andere bepalingen:
artikel 6 (special categories of data) en artikel 8 (transparancy of processing).
Zij adviseert te bezien of deze bepalingen niet ook als rechtstreeks werkend in de
toelichting dienen te worden aangemerkt.

Het advies van de Afdeling op dit punt is overgenomen. In paragraaf 6 van de memorie
van toelichting worden nu ook artikel 8 van het wijzigingsprotocol (gewijzigd artikel 6)
over de bescherming van bijzondere categorieën van persoonsgegevens bij gegevensverwerking
en artikel 10 van het wijzigingsprotocol (nieuw artikel 8) over de transparantie van
gegevensverwerking als een ieder verbindende bepalingen aangemerkt. Verder is paragraaf 6
uitgebreid en voorzien van enkele redactionele aanpassingen.

De Afdeling advisering van de Raad van State van het Koninkrijk heeft opmerkingen
bij het voorstel van rijkswet en adviseert daarmee rekening te houden voordat het
voorstel van rijkswet bij de Tweede Kamer der Staten-Generaal wordt ingediend en aan
de Staten van Aruba, die van Curaçao en aan die van Sint Maarten wordt overgelegd.

De vice-president van de Raad van State van het Koninkrijk,

Th.C. de Graaf

Ik moge U, mede namens de Minister voor Rechtsbescherming, de Minister van Binnenlandse
Zaken en Koninkrijksrelaties en de Minister van Defensie verzoeken het hierbij gevoegde
gewijzigde voorstel van rijkswet en de gewijzigde memorie van toelichting aan de Tweede
Kamer der Staten-Generaal, de Staten van Aruba, de Staten van Curaçao en de Staten
van Sint Maarten te zenden.

De Minister van Buitenlandse Zaken, H.G.J. Bruins Slot