Verslag (initiatief)wetsvoorstel (nader) : Verslag van de Staten van Curaçao

Nr. 9
VERSLAG VAN DE STATEN VAN CURAÇAO

Vastgesteld 17 oktober 2024

De in de Staten van Curaçao aanwezige fracties van de MFK, PNP, PAR, MAN, KEM, TPK,
onafhankelijk lid mevrouw Z. Jesus-Leito en onafhankelijk lid mevrouw C. Djaoen-Genaro
hebben kennisgenomen van het onderhavige voorstel van rijkswet en hebben de volgende
op- en aanmerkingen.

Op 1 oktober 2024, in een Centrale Commissievergadering hebben de fracties uit de
Staten van Curaçao zich officieel uitgelaten over hun standpunten inzake het voorstel
van rijkswet houdende goedkeuring van het op 28 januari 1981 te Straatsburg tot stand
gekomen Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde
verwerking van persoonsgegevens.

Hieronder volgt een uiteenzetting van die standpunten met de daarbij gemaakte op-
en aanmerkingen per fractie.

Op- en aanmerkingen vanuit de fracties

De PNP-fractie merkt het volgende op. Het gaat hier om een belangrijke en waardevolle
voorstel van rijkswet. Gelet op de internationale ontwikkelingen is het voor het land
Curaçao belangrijk te weten wat met dit protocol wordt geregeld. Het onderhavige voorstel
van rijkswet houdt de goedkeuring in van het Verdrag tot bescherming van personen
met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (Trb. 2018, 201 en Trb. 2023, 54). Dit verdrag geldt voor alle landen van het Koninkrijk en is internationaal aanvaard.
Het protocol bevat een substantieel aantal wijzigingen van het verdrag. Het verdrag
is in het verleden tot stand gekomen in het kader van ontwikkelingen op het gebied
van digitale technologie, zoals het veelvuldige gebruik van computers en internet.
Inmiddels is dit verdrag verouderd en past het niet meer bij de tijd. Dit komt door
de snelle ontwikkelingen, met name op het gebied van grensoverschrijdende verwerking
van gegevens, technologie en communicatie. Het protocol heeft tot doel de eerder door
het Koninkrijk getekende verdragen te moderniseren. Met dit voorstel worden de persoonsgegevens
in overeenstemming gebracht met de Algemene Verordening Gegevensbescherming (AVG)
van de Europese Unie. Het protocol wordt aldus integraal gewijzigd. Deze wijziging
geldt voor alle landen van het Koninkrijk.

In het bestaande verdrag hebben de lidstaten nog altijd de mogelijkheid bepaalde sectoren
of activiteiten uit te sluiten. Deze mogelijkheid wordt met dit protocol afgeschaft.
Reden te meer voor de regering van Curaçao om extra oplettend te zijn en mogelijk
een voorbehoud te maken ten aanzien van bepaalde onderwerpen. Het gaat hier immers
om persoonsgegevens, waaronder de voornaam, achternaam, geslacht en andere gegevens
die betrekking hebben op een persoon. De bescherming van bijzondere persoonsgegevens
wordt door dit protocol versterkt. Met dit protocol worden een aantal nieuwe rechten
ingevoerd. Enerzijds worden de rechten van de gegevenshouders versterkt, anderzijds
legt het protocol verplichtingen op aan gegevensverwerkers om zeer nauwkeurig om te
gaan met gegevensverwerking. Het toezicht op en de bewaking van de persoonsgegevens
wordt op grond van het verdrag uitgevoerd door de Autoriteit Persoonsgegevens.

De fractie stelt eerst enkele algemene vragen en gaat vervolgens in op de implicaties
van het protocol:

– Waarom is ratificatie van dit protocol nu nodig? Wat zijn de concrete problemen die
dit protocol oplost in de Curaçaose context? Zijn er actuele voorbeelden van problemen
met de geautomatiseerde verwerking van persoonsgegevens die door dit protocol worden
aangepakt?

– Welke impact heeft dit protocol op de autonomie van Curaçao in het reguleren van gegevensbescherming?
Beperkt dit protocol de mogelijkheden voor Curaçao om eigen, specifieke regels te
stellen die beter aansluiten bij de lokale context?

– Zijn er voldoende waarborgen ingebouwd om te voorkomen dat dit protocol leidt tot
onevenredige beperkingen van de grondrechten van burgers, met name het recht op privacy?
Hoe wordt de balans bewaakt tussen gegevensbescherming en andere belangen, zoals nationale
veiligheid of economische groei?

Hoe verhoudt dit protocol zich tot de Algemene Verordening Gegevensbescherming (AVG)
van de Europese Unie, die ook van toepassing is op Curaçao? Leidt dit protocol tot
conflicten of overlappingen met de AVG? Zo ja, hoe worden deze opgelost? Het protocol
introduceert het concept van «geautomatiseerde besluitvorming», inclusief profiling.
Welke specifieke maatregelen worden genomen om te voorkomen dat burgers in Curaçao
onevenredig worden benadeeld door geautomatiseerde besluiten? Hoe wordt inzicht en
controle door burgers gegarandeerd over dit soort besluitvorming? Het protocol stelt
eisen aan de beveiliging van persoonsgegevens. Zijn deze eisen voldoende streng, gezien
de toenemende dreiging van cyberaanvallen en datalekken? Welke concrete maatregelen
worden genomen om de veiligheid van persoonsgegevens in Curaçao te waarborgen?

Hoe wordt de handhaving van dit protocol gewaarborgd? Welke instanties zijn verantwoordelijk
voor toezicht en handhaving? Beschikken deze instanties over voldoende middelen en
bevoegdheden om effectief op te treden? Welke concrete stappen worden ondernomen om
dit protocol te implementeren in de nationale wetgeving van Curaçao? Wat is het tijdspad
voor deze implementatie? Hoe wordt de bevolking van Curaçao geïnformeerd over de inhoud
en de gevolgen van dit protocol? Zijn er voorlichtingscampagnes gepland? Welke middelen
worden beschikbaar gesteld om burgers te ondersteunen bij het uitoefenen van hun rechten
onder dit protocol? Bijvoorbeeld, hoe kunnen burgers een klacht indienen bij een datalek?

Het komt erop neer dat het protocol draait om de bescherming van persoonsgegevens
en het privéleven («privacy») van burgers. Hoe wordt in dit digitale tijdperk omgegaan
met gegevens van personen, en hoe wordt hun zekerheid bevorderd? Het land moet voorbereid
zijn op het toezicht en de handhaving daarvan. Het hebben van een «Facebook-account»
bevestigt en accepteert dat de gebruiker de algemene bepalingen van Facebook aanvaardt,
waarbij alle persoonlijke gegevens worden vrijgegeven.

De fractie merkt op dat de behandeling van dit voorstel van rijkswet betrekking heeft
op de goedkeuring van bestaande verdragen. Er zijn twee (2) artikelen die goedgekeurd
moeten worden. Het eerste artikel heeft betrekking op het verdrag uit 1981, betreffende
de bescherming van de geautomatiseerde verwerking van persoonsgegevens, dat moet worden
goedgekeurd voor Aruba, Curaçao en Sint-Maarten. Het tweede artikel heeft betrekking
op de wijzigingen die op 10 oktober 2018 hebben plaatsgevonden in het protocol bij
het verdrag betreffende de bescherming van personen in verband met de geautomatiseerde
verwerking van persoonsgegevens. Dit laatste geldt voor het hele Koninkrijk. De behandeling
van dit voorstel van rijkswet in de Staten van Curaçao heeft betrekking op de goedkeuring
van de hiervoor genoemde artikelen.

De fractie haalt aan dat het hier om mensenrechten gaat. Wat zijn mensenrechten? Een
voorbeeld hiervan is de vrijheid van godsdienst. Iedereen heeft het recht op vrijheid
van godsdienst en vrijheid van meningsuiting. Dit betekent dat mensen volgens religieuze
voorschriften mogen leven, hun religieuze opvattingen mogen uitdragen en kritiek mogen
uiten zonder toestemming van de regering. De vrijheid van meningsuiting is echter
niet onbeperkt en kan in sommige gevallen als onrechtmatig worden gekwalificeerd.
Een ander voorbeeld is het discriminatieverbod. Dit zijn fundamentele mensenrechten.
De bescherming van persoonsgegevens is nu ook een fundamenteel mensenrecht geworden.
Mensenrechten zijn echter geen vaststaand gegeven, ze blijven in ontwikkeling. In
de toekomst is het bijvoorbeeld mogelijk dat ook dieren beschermd worden tegen consumptie.

De goedkeuring van het voorstel van rijkswet, wat houdt dat in? Dit is een ondergrens.
Elk land is vrij om het vereiste niveau van bescherming van persoonsgegevens te waarborgen.
Wat gebeurt er met persoonsgegevens? Het in handen krijgen van iemands mobiele telefoon
levert alle informatie van de eigenaar op. Hoe wordt deze persoon beschermd? Bescherming
van persoonsgegevens is een fundamenteel mensenrecht. Bijvoorbeeld, iemand die zich
heeft vergist. Hoe kan deze persoon vergeten worden? Met de huidige technologieën
gaan zijn persoonsgegevens de wereld rond. De fractie geeft een voorbeeld uit de screeningswet
voor kandidaat-ministers op Curaçao. Sommige kandidaten die jaren geleden in opspraak
waren geraakt, dachten dat zij de toetsing zouden passeren. Later bleek dit niet het
geval te zijn. De vraag is: hoe worden de gegevens van deze personen beschermd? De
gegevens van deze personen zijn overal terug te vinden. De fractie merkt op dat de
beste manier om persoonlijke gegevens te beschermen is door het gebruik van bepaalde
applicaties (Apps) te vermijden.

De MFK-fractie deelt mee dat, voorafgaand aan de behandeling van dit voorstel van
rijkswet in de centrale commissie, de commissie Bestuur, Planning en Dienstverlening
(BPD) van de Staten heeft vergaderd met de ambtenaren van Aruba, Sint-Maarten en Nederland,
die belast zijn met dit voorstel. De behandeling is vervolgens voortgezet in het tripartiete
overleg tussen de delegaties van Aruba, Curaçao en Sint Maarten. Dit voorstel van
rijkswet heeft betrekking op de bescherming van persoonsgegevens van burgers, een
onderwerp dat van groot belang is voor de maatschappij. Niet iedereen is zich bewust
van de bescherming van persoonsgegevens. Een voorbeeld hiervan is het internationale
datalek van persoonsgegevens en informatie. Vaak weet de persoon zelf niet dat er
sprake is van een datalek. Dit gebeurt vaak via verschillende internationale platforms.
Datalekken komen onder meer voor bij het gebruik van Facebook en TikTok. TikTok ligt
onder vuur in de Amerikaanse Senaat. De Senaat heeft ingestemd met een algeheel verbod
op TikTok, in verband met de nationale veiligheid. Dit platform heeft directe toegang
tot alle informatie en persoonsgegevens, en de vraag is of de Chinese overheid toegang
heeft tot de data van de Amerikaanse regering.

De fractie erkent het belang van dit voorstel van rijkswet. Het is duidelijk dat verschillende
platforms algoritmes toepassen om gebruikers te volgen en hun interesses te leren
kennen. Veel gebruikers hebben het gevoel dat ze via hun mobiele telefoon worden gevolgd
door de applicaties. Deze ontwikkelingen hebben aan de ene kant voordelen voor de
gebruiker, maar kunnen ook argwaan wekken. Onder deze omstandigheden is het belangrijk
dat de gebruiker zoveel mogelijk wordt beschermd. Uiteraard zijn alle burgers vrij
om alles te doen, zolang ze een ander niet schaden.

Tijdens de technische briefing heeft de commissie met de desbetreffende ambtenaren
gesproken over dit onderwerp, onder meer over hoe in de praktijk met data moet worden
omgegaan. Wat is de beste manier om de regeling en de bescherming van persoonsgegevens
uit te voeren? Dit is in principe niet mogelijk zonder een bewustwordingscampagne.
Er is een autoriteit (RAAK) ingesteld die zorgdraagt voor de bescherming en het toezicht
op data. Volgens de fractie is het voorstel van rijkswet belangrijk, maar dit moet
gepaard gaan met een nationale cyberveiligheidswet. De fractie stemt in met de goedkeuring
van het onderhavige voorstel van rijkswet, maar vraagt zich af, wat daarna volgt.

Hoe zal de regering van Curaçao hiermee verder omgaan, na goedkeuring van dit voorstel
van rijkswet? De bescherming van persoonsgegevens van burgers werkt niet zonder een
nationale cyberveiligheidswet. Een voorbeeld hiervan is hacking. De veiligheidsdienst
kan volgens de fractie, via hacking, de beschikking krijgen over allerlei datagegevens
die later in een opsporingsonderzoek tegen een verdachte gebruikt kunnen worden.

De fractie merkt op dat dit verdrag niet door alle landen is geratificeerd. Ook Curaçao
heeft dit verdrag nooit geratificeerd. Wat betekent dit voor Curaçao? Wat moet het
land Curaçao verder doen?

Verder krijgen de ontwikkelingen op het gebied van AI wereldwijd steeds meer aandacht.
Veel smartphones gebruiken AI. Bijvoorbeeld, de smartphone wordt ontgrendeld door
gezichtsherkenning. Dit zijn functies (features) die de gebruiker helpen. Enkele voorbeelden
hiervan zijn Siri, Bixby, Google Assistent en Alexa. Het is duidelijk dat deze platforms
internationaal proberen om meer over de gebruiker te weten te komen. Door het gebruik
van AI-algoritmes kan de smartphone leren hoe de gebruiker zijn of haar apparaat gebruikt.
Volgens de fractie bestaat er vooralsnog geen internationale wet die AI-algoritmes
(platforms) reguleert. De vraag is of Curaçao dit in de nationale regeling kan vastleggen,
vooral in het kader van het gebruik van AI. Het Justitieel Vierlandenoverleg (JVO)
heeft in 2022 steun en financiële hulp toegezegd voor de uitvoering van dit onderwerp.
Deze steun geldt voor Curaçao, maar ook voor Aruba en Sint-Maarten. De fractie vraagt
hoe het daarmee staat.

De MAN-fractie merkt op dat het voorstel van rijkswet ook betrekking heeft op informatie
en vormen van informatie voor militaire- en veiligheidsdoeleinden. Dit betekent dat
deze diensten bevoegdheden hebben over gegevens die als persoonsgegevens kunnen worden
gekwalificeerd. De fractie heeft met name vragen en opmerkingen richting de regering
van Curaçao. De Raad van State heeft aangegeven dat de Caribische landen momenteel
geen wetten hebben op het niveau van deze verdragen. Wat is de positie van de regering
van Curaçao met betrekking tot wetswijzigingen over persoonsgegevens, om deze op het
niveau van verdragen vast te stellen? De Autoriteit Persoonsgegevens heeft in haar
brief van 21 februari 2021 aangegeven dat er binnen het Koninkrijk concordantie moet
zijn wat betreft wetten en de uitwisseling van informatie in strafrechtelijke onderzoeken
en door veiligheidsdiensten. Op dit moment worden gegevens via rechtshulpverzoeken
uitgewisseld. Wat is het oordeel van de regering hierover, met name over de uitwisseling
van informatie in strafrechtelijke onderzoeken en door veiligheidsdiensten? Wat is
het oordeel van de regering over concordantie met andere partners binnen het Koninkrijk
op basis van het onderhavige voorstel van rijkswet?

Curaçao heeft een autoriteit ingesteld om toezicht te houden op en controle uit te
oefenen over de manier waarop wordt omgegaan met persoonsgegevens. Betekent het goedkeuren
van dit verdrag dat Curaçao haar wetten en regelingen moet aanpassen om uitvoering
te kunnen geven aan de normen van dit verdrag? Wat is de visie en het beleid van de
regering met betrekking tot de verwerking en bescherming van persoonsgegevens op basis
van dit voorstel van rijkswet? Dit heeft volgens de fractie ook invloed op de destijds
ingestelde autoriteit.

Dit verslag geldt als een Eindverslag.

Aldus vastgesteld in de vergadering van de Centrale Commissie van de 1e oktober 2024.

De Rapporteur, Ch.M. America-Francisca