Antwoord schriftelijke vragen : Antwoord op vragen van het lid El Abassi over de overdracht van persoonsgegevens van Europese burgers aan Israël

Antwoord van Staatssecretaris Struycken (Justitie en Veiligheid) (ontvangen 25 juni
2025). Zie ook Aanhangsel Handelingen, vergaderjaar 2024–2025, nr. 2314

Vraag 1

Bent u bekend met het artikel in Follow the Money van 1 mei 2025 getiteld «Europese
persoons­gegevens belanden in Israël: zorgen om surveillance en mensenrechtenschendingen»?1

Antwoord 1

Ja.

Vraag 2

Klopt het dat de Europese Commissie Israël heeft aangewezen als «veilige bestemming»
voor persoonsgegevens van Europese burgers, waardoor bedrijven gegevens mogen doorgeven
aan Israël zonder aanvullende waarborgen?

Antwoord 2

De Algemene verordening gegevensbescherming (AVG) bepaalt dat doorgifte van persoonsgegevens
aan derde landen, waaronder Israël, alleen onder bepaalde voorwaarden is toegestaan.2 Doorgifte van persoonsgegevens zonder aanvullende waarborgen naar een derde land
mag plaatsvinden als de Europese Commissie (EC), in een zogenoemd adequaatheidsbesluit,
heeft besloten dat dit derde land voor doorgifte van persoonsgegevens een passend
en met EU wetgeving vergelijkbaar beschermingsniveau biedt.3 De Europese Commissie heeft op 31 januari 2011, op grond van artikel 25, zesde lid,
van de destijds geldende gegevensbeschermingsrichtlijn 95/46/EG, een adequaatheidsbesluit
genomen voor Israël.4 In dit besluit werd geoordeeld dat Israël een passend beschermingsniveau biedt voor
doorgifte van persoonsgegevens die vanuit de Europese Unie worden doorgegeven naar
Israël.5 Met het in werking treden van de AVG op 25 mei 2018 bleven de adequaatheidsbesluiten
die op grond van de richtlijn waren vastgesteld, waaronder het adequaatheidsbesluit
voor Israël, van kracht. De AVG verduidelijkt dat adequaatheidsbesluiten levende instrumenten
zijn, en dat de Commissie doorlopend toezicht dient te houden op ontwikkelingen in
derde landen die mogelijk gevolgen hebben voor het functioneren van bestaande adequaatheidsbesluiten.6

Artikel 97 AVG vereist daarnaast dat de Commissie deze besluiten om de vier jaar evalueert
om te bepalen of de landen en gebieden waarvoor een passend beschermingsniveau is
vastgesteld nog steeds een passend beschermingsniveau voor persoonsgegevens bieden.7 De Europese Commissie heeft op 15 januari 2024 haar eerste evaluatie afgerond van
11 adequaatheidsbesluiten die onder de gegevensbeschermingsrichtlijn (95/46/EG) waren
genomen, waaronder ook het adequaatheidsbesluit voor Israël.

In het verslag van de Commissie aan het Europees parlement en de Raad is vastgesteld
dat Israël een passend niveau van gegevensbescherming blijft waarborgen, en dat er
voor de doorgifte van gegevens naar Israël geen aanvullende waarborgen nodig zijn.
Op grond van artikel 45, vierde lid, AVG, dient de Commissie doorlopend toezicht te
houden op ontwikkelingen in derde landen die mogelijk gevolgen hebben voor het functioneren
van een adequaatheidsbesluit.8 In het antwoord op vraag 6 ga ik nader in op de bevoegdheden die de Commissie terzake
heeft.9

Vraag 3

Kunt u aangeven om welke soorten persoonsgegevens het hier gaat en welke Nederlandse
bedrijven of organisaties momenteel gegevens delen met Israëlische partijen?

Antwoord 3

De Europese Commissie beperkt in het adequaatheidsbesluit niet expliciet de soorten
persoonsgegevens die mogen worden doorgegeven. Onder het adequaatheidsbesluit kunnen
dus in beginsel alle persoonsgegevens worden gedeeld met Israëlische partijen. Artikel
30 AVG schrijft voor dat de Europese verwerkingsverantwoordelijke en in voorkomend
geval de vertegenwoordiger van de verwerkingsverantwoordelijke, een register bijhoudt
van de verwerkingsactiviteit die onder hun verantwoordelijkheid plaatsvindt. Het register
dient onder meer een beschrijving te bevatten van de categorieën van betrokkenen en
de categorieën persoonsgegevens, en de categorieën van ontvangers aan wie de persoonsgegevens
zijn of zullen worden verstrekt, onder meer ontvangers in derde landen of internationale
organisaties.10 Het valt onder de verantwoordingsplicht in de AVG, dat individuele verwerkingsverantwoordelijken
zelf kunnen aantonen dat zij voldoen aan de AVG.11 Het is aan de Autoriteit Persoonsgegevens als onafhankelijke toezichthouder om te
beoordelen of organisaties handelen in overeenstemming met de AVG, en om op te treden
indien dit niet het geval is.

Het bijhouden of, en zo ja welke, soorten persoonsgegevens Nederlandse bedrijven of
organisaties doorgeven aan Israëlische partijen, is – zo dat al doenlijk is – geen
taak van het kabinet.

Vraag 4

Hoe beoordeelt u het feit dat persoonsgegevens van Nederlanders terecht kunnen komen
bij partijen in een land waar ernstige zorgen bestaan over massasurveillance, mensenrechten
en het ontbreken van onafhankelijk toezicht op privacybescherming?

Antwoord 4

Zoals ik schreef in het antwoord op vraag 2, waarborgt Israël naar het oordeel van
de Europese Commissie een niveau van persoonsgegevensbescherming dat vergelijkbaar
is met het niveau dat in de EU wordt verzekerd.12 In dit kader is vorig jaar bij de evaluatie van het adequaatheidsbesluit gekeken
naar de privacybescherming in Israël, het onafhankelijk toezicht daarop en de toegang
tot het recht.13

Vraag 5

Is er toezicht op wat er met de gedeelde gegevens gebeurt zodra deze Israël bereiken?
Zo ja, hoe is dit toezicht geregeld en wie voert het uit?

Antwoord 5

De toepassing van de rechtsnormen voor gegevensbescherming in Israël wordt, blijkens
het adequaatheidsbesluit voor Israël, gewaarborgd door bestuurlijke rechtsmiddelen
en toezicht door een toezichthoudende autoriteit.14 De Israëlische privacytoezichthouder, de Privacy Protection Authority (PPA) heeft
(zoals ook in de evaluatie van het adequaatheidsbesluit wordt vastgesteld15) de bevoegdheid om onderzoek te verrichten en in te grijpen, en treedt onafhankelijk
op.16

Vraag 6

In hoeverre acht u het wenselijk dat de Europese Commissie deze beslissing heeft genomen,
terwijl landen als Frankrijk en Duitsland en mensenrechtenorganisaties daar kritiek
op hebben?17

Antwoord 6

Op grond van artikel 45 AVG komt de bevoegdheid tot het nemen van de genoemde beslissing
de Europese Commissie toe. Op grond van artikel 45, vierde lid, AVG, houdt de Commissie
doorlopend toezicht op ontwikkelingen in derde landen die mogelijk gevolgen hebben
voor het functioneren van een adequaatheidsbesluit.18 Op grond van het vijfde lid gaat de Commissie, indien na toetsing blijkt dat een
derde land niet langer over een passend beschermingsniveau beschikt, bij uitvoeringshandeling
over tot het intrekken, wijzigen of schorsen van een adequaatheidsbesluit.19 Zij betrekt daarbij de zienswijzen van de lidstaten maar ook die van (internationale)
organisaties. De Europese Commissie heeft in de evaluatie, en ook nadien naar aanleiding
van vragen van het Europees parlement,20 benadrukt de revelante ontwikkelingen in Israël nauwlettend te volgen. In het geval
ontwikkelingen in een land of gebied met een passend beschermingsniveau een negatieve
invloed zouden hebben op het vastgestelde beschermingsniveau, kan de Europese Commissie
gebruik maken van haar bevoegdheden op grond van artikel 45, lid 5, AVG om een adequaatheidsbesluit
op te schorten, te wijzigen of in te trekken.

Vraag 7

Wat betekent deze beslissing concreet voor de bescherming van de persoonsgegevens
van Nederlanders, met name van mensen die gebruikmaken van apps als Waze, MyHeritage
en FaceTune?

Antwoord 7

Onder het adequaatheidsbesluit kunnen persoonsgegevens vanuit de Europese Unie aan
Israëlische organisaties worden doorgegeven, omdat een met EU recht vergelijkbaar
niveau van rechtsbescherming geldt.

Vraag 8

Bent u bereid in Europees verband bezwaar te maken tegen deze aanwijzing van Israël
als «veilige bestemming» voor persoonsgegevens? Zo nee, waarom niet?

Antwoord 8

Daartoe zie ik geen aanleiding. Het nemen van een adequaatheidsbesluit op grond van
artikel 45 AVG is een bevoegdheid van de Europese Commissie. Dat wil niet zeggen dat
de verschillende lidstaten hierover niets in te brengen hebben; zij hebben bij de
voorbereiding van zo’n besluit een adviserende rol via de op artikel 93 AVG gebaseerde
comitéprocedure.21

Zoals hiervoor beschreven, is het bestaande EU-adequaatheidsbesluit voor Israël op
15 januari 2024 positief geëvalueerd door de Europese Commissie èn heeft de Europese
Commissie de bevoegdheid het besluit op te schorten of in te trekken. Nederland volgt
de ontwikkelingen nauwlettend.

Vraag 9

Bent u bereid te onderzoeken of Nederlandse burgers geïnformeerd kunnen worden wanneer
hun persoonsgegevens met Israël worden gedeeld? Kunt u toezeggen dat mensen tenminste
de mogelijkheid krijgen hier bezwaar tegen te maken?

Antwoord 9

De AVG verplicht verwerkingsverantwoordelijken reeds om betrokkenen te informeren
bij het voornemen persoonsgegevens door te geven aan een derde land of een internationale
organisatie.22 Ook hebben betrokkenen al het recht om onder bepaalde voorwaarden bezwaar te maken
tegen die verwerking, zoals vastgelegd in artikel 21 AVG. De verwerkingsverantwoordelijke
is verantwoordelijk voor de naleving van de AVG, en dient naleving van de AVG aan
te kunnen tonen. Het is aan de Autoriteit Persoonsgegevens, als onafhankelijke toezichthouder,
om toe te zien op de naleving van de AVG en waar nodig handhavend op te treden.

Deze vereisten uit de AVG gelden, op grond van artikel 3, tweede lid, AVG, ook onder
bepaalde voorwaarden voor organisaties buiten de EU die persoonsgegevens van in de
EU verblijvende betrokkenen verwerken. De AVG heeft daarmee een extra territoriale
werkingssfeer. Artikel 27, eerste lid, AVG, bepaalt tevens dat de verwerkingsverantwoordelijke
zoals hiervoor genoemd, schriftelijk een vertegenwoordiger in de Europese Unie dient
aan te wijzen. Om te waarborgen dat de verordening wordt nageleefd, wordt de vertegenwoordiger
gemachtigd door de verwerkingsverantwoordelijke of de verwerker, om naast hem of in
zijn plaats te worden benaderd in verband met de verwerking van persoonsgegevens,
in het bijzonder door toezichthouders, Een betrokkene in Nederland kan, op grond van
artikel 77 AVG, een klacht indienen bij de Autoriteit Persoonsgegevens.

Vraag 10

Deelt u de opvatting dat privacy een grondwettelijk recht is dat niet ondergeschikt
mag zijn aan economische en/of diplomatieke belangen? Hoe gaat u de privacygegevens
van Nederlandse burgers beschermen bij het delen daarvan met Israël?

Antwoord 10

De vraag suggereert dat sprake is van een spanningsveld waarin (door de Europese Commissie)
een keuze is gemaakt voor het een ten koste van het ander. Dat is evenwel niet het
geval. Zoals ik schreef in het antwoord op de vragen 2 en 4, waarborgt Israël naar
het oordeel van de Europese Commissie een niveau van persoonsgegevensbescherming dat
vergelijkbaar is met het niveau dat in de EU wordt verzekerd. Er is dus geen sprake
van dat het grondrecht wordt geschonden wanneer persoonsgegevens aan Israël worden
doorgegeven.

Vraag 11

Hoe gaat u de privacygegevens van Nederlandse burgers beschermen bij het delen daarvan
met Israël?

Antwoord 11

Zoals in het antwoord op vraag 9 is uiteengezet, is het aan elke verwerkingsverantwoordelijke
om openheid te geven over het doorgeven van persoonsgegevens aan een derde land, zodat
daartegen bezwaar kan worden gemaakt. Wanneer daarmee niets wordt gedaan, kan een
klacht worden ingediend bij de Autoriteit Persoonsgegevens, als onafhankelijke toezichthouder.23