Antwoord schriftelijke vragen : Antwoord op vragen van het lid Buitenweg inzake het bericht dat de Consumentenbond de noodklok luidt om illegale datahandel

Antwoord van Minister Dekker (Rechtsbescherming) (ontvangen 2 maart 2020) Zie ook
Aanhangsel Handelingen, vergaderjaar 2019–2020, nr. 1710.

Vraag 1

Heeft u kennisgenomen van het bericht «Consumentenbond luidt noodklok om illegale
datahandel» van 14 januari 2020?1

Antwoord 1

Ja

Vraag 2

Wat is uw appreciatie van het rapport «Out of Control» van de Noorse consumentenbond?
Deelt u de strekking van het rapport dat illegale datahandel staande praktijk is in
Europa?

Antwoord 2

Het rapport schetst een uitgebreid beeld van de handel in data en kaart terecht aan
dat het voor burgers vaak zeer lastig is om controle te houden over wat er met hun
persoonsgegevens gebeurt, zeker wanneer wet- en regelgeving niet worden nageleefd
door de partijen die de gegevens verwerken. Het rapport focust met name op een aantal
specifiek onderzochte apps, maar benoemt in brede zin ook dat de handel in data in
Europa en daarbuiten wijdverspreid is. Het rapport zet vervolgens vraagtekens bij
de kwestie in hoeverre deze grootschalige handel legaal kan zijn.

Ik zie net als de opstellers van het rapport dat er enorme hoeveelheden data worden
verhandeld, maar vind het tevens belangrijk dat er per zaak wordt bepaald of de data
in kwestie rechtmatig wordt verwerkt. Ik juich het dan ook toe dat dat de Autoriteit
Persoonsgegevens (AP) in haar document «Focus AP 2020–2023» datahandel als één van
de drie focusgebieden voor de komende jaren aanmerkt.2

Vraag 3

Deelt u de mening dat de groeiende handel in persoonsgegevens een risico vormt door
individuen kwetsbaar te maken voor manipulatie en discriminatie?

Antwoord 3

Het illegaal verhandelen en verkopen van persoonsgegevens vind ik een zeer kwalijke
zaak. Deze handel draait om het creëren van gedetailleerde profielen van individuen
door hun gedrag te monitoren. Wanneer er gedetailleerde profielen worden samengesteld
die terug te voeren zijn op specifieke individuen kan er een vergroot risico op discriminatie
en manipulatie ontstaan. Dit manifesteert zich met name wanneer de transparantie en
informatieverplichtingen uit de relevante wetgeving worden geschonden, omdat betrokkenen
zich in dat geval niet bewust zijn van het feit dat zij worden geprofileerd. Het is
om die reden van groot belang dat de AP, zoals hiervoor aangegeven, datahandel als
een focusgebied heeft aangemerkt.

Wanneer betrokkenen wél bekend zijn met de verwerking van hun gegevens hebben zij
de mogelijkheid op te treden tegen mogelijke discriminatie of manipulatie door bijvoorbeeld
een klacht in te dienen bij de toezichthouder.

Vraag 4

Klopt het dat het doorverkopen of doorgeven van persoonsgegevens aan derden, zonder
toestemming van de consument, een schending van de Algemene verordening gegevensbescherming
(AVG) en de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) betreft?

Antwoord 4

Het is in dit kader van belang om onderscheid te maken tussen enerzijds het doorgeven van gegevens en anderzijds het doorverkopen van gegevens.

Bij het doorgeven van persoonsgegevens is het afhankelijk van de specifieke situatie
of het doorgeven van gegevens rechtmatig is. Het doorgeven van gegevens is een «verwerking»
in de zin van de AVG en mag in ieder geval nooit zonder grondslag. De AVG biedt zes
grondslagen waarop een verwerking van persoonsgegevens rechtmatig kan zijn. Het is
afhankelijk van de specifieke situatie welke grondslag van toepassing is en of de
verwerkingsverantwoordelijke voldoet aan alle eisen om de verwerking rechtmatig te
laten zijn.

Voor de doorverkoop van persoonsgegevens ligt dit anders. Recent heeft de AP haar
normuitleg over de rechtsgrond «gerechtvaardigd belang» gepubliceerd.3 Hierin overweegt de AP onder meer dat bijvoorbeeld het enkel dienen van zuiver commerciële
belangen of winstmaximalisatie geen «gerechtvaardigd belangen» van de verwerkingsverantwoordelijke
kunnen zijn in de zin van artikel 6 AVG. Dit brengt met zich mee dat de doorverkoop
van persoonsgegevens in beginsel alleen rechtmatig kan zijn wanneer de betrokkene
hier toestemming voor heeft gegeven.

Vraag 5

Bieden de AVG en UAVG voldoende handvatten om ongewenste datahandel te bestrijden?
Zo ja, hoe is het mogelijk dat illegale datahandel nog altijd staande praktijk is
volgens het rapport van de Noorse consumentenbond? Zo nee, op welke punten zou additionele
wetgeving wenselijk kunnen zijn?

Antwoord 5

De AVG en de UAVG bieden voldoende handvatten om onrechtmatige handel in persoonsgegevens
te bestrijden. De opstellers van het rapport betogen dat de onderzochte activiteiten
veelal niet in overeenstemming zijn met de bestaande normen. Dit duidt er tevens op
dat er voldoende normen zijn die de handel in persoonsgegevens reguleren, en dus om
ongewenste handel in persoonsgegevens te bestrijden. Verder wil ik u er graag op wijzen
dat de handel in gegevens in sommige gevallen ook wordt geraakt door de normen uit
de Telecommunicatiewet. Het is dan ook goed om te vernemen dat de AP samenwerkt met
haar collega toezichthouders om de onrechtmatige handel in data tegen te gaan.4

Vraag 6

Klopt het dat de privacyverklaringen van sommige van de onderzochte apps stellen dat
gegevens als leeftijd, sekse en gedragsinformatie niet onder de categorie persoonsgegevens
vallen? Is dat een overtreding van de AVG en UAVG? Zo nee, waarom niet? Zo ja, wat
gaat u doen om deze overtredingen aan te pakken?

Antwoord 6

Het begrip «persoonsgegeven» wordt in de jurisprudentie breed ingevuld. Het omvat
alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.
Het is logischerwijs niet mogelijk om naar eigen inzicht van deze definitie af te
wijken. Of dit al dan niet een overtreding van de AVG of UAVG betreft, is aan de bevoegde
toezichthouder.

Vraag 7

In uw brief van 11 juni 2019 schreef u dat de aandacht van de Autoriteit Persoonsgegevens
(AP) in 2019 nadrukkelijker uit zou gaan naar handhaving en sanctieoplegging; in hoeverre
heeft die extra aandacht zich vertaald in concrete resultaten en opgelegde boetes
of andere sancties voor het illegaal delen van data?5

Antwoord 7

De AP heeft mij desgevraagd laten weten dat er inmiddels verschillende onderzoeken
lopen op dit terrein. Deze onderzoeken kunnen mogelijk leiden tot handhaving. Gelet
op een effectieve uitoefening van de toezichtstaken van de AP kan ik u geen concretere
informatie geven over de hoeveelheid onderzoeken of handhavingstrajecten. De AP heeft
op dit moment nog geen boetes of andere sancties voor het illegaal delen van persoonsgegevens
gepubliceerd. Verder wil ik u er nogmaals op wijzen dat datahandel centraal staat
in de strategie van de AP voor de komende jaren (Focus 2020–2023).4

Vraag 8

Hoe vaak is de AP al een formeel handhavingstraject gestart naar aanleiding van het
illegaal doorverkopen of doorgeven van persoonsgegevens aan derden, sinds de inwerkingtreding
van de UAVG?

Antwoord 8

Zie de beantwoording vraag 7.

Vraag 9

Bent u van plan om gehoor te geven aan de oproep van de Consumentenbond om meer te
doen om illegale datahandel tegen te gaan? Zo nee, waarom niet? Zo ja, op welke manier
gaat u dat doen?

Antwoord 9

De oproep van de Consumentenbond om meer te doen tegen de illegale handel in data
is zeer begrijpelijk. Ik juich het dan ook toe dat de AP zich hier de komende jaren
specifiek op zal gaan richten.

In het rapport wordt verder aanbevolen om voldoende waarborgen op te nemen in de E-Privacy
verordening, waarover in Brussel wordt onderhandeld. Zelf zal ik mij in samenwerking
met de Staatssecretaris van Economische Zaken en Klimaat in blijven zetten voor een
E-Privacy verordening die burgers voldoende bescherming biedt.

Verder steun ik de oproep die de Noorse consumentenbond doet aan de verschillende
toezichthouders op de naleving van het gegevensbeschermingsrecht, maar ook op consumenten-
en mededingingsrecht, om waar nodig gezamenlijk op te treden tegen illegale datahandel.