De derde landen problematiek van de Wbp en de beroepsaansprakelijkheid van de juridisch adviseur
Commentaar van Walter van Holst, Mitopics.
Onlangs is een aantal wijzigingen in de Wet bescherming persoonsgegevens (Wbp) van kracht geworden die met name de doorgifte van persoonsgegevens naar zogenaamde derde landen beoogt te vereenvoudigen. Enige kritische kanttekeningen bij de meest in het oog springende wijziging: het mogelijk maken van doorgifte van persoonsgegevens naar derde landen zonder een vergunningsprocedure.
De toevoeging van sub g aan lid 1 van artikel 77 Wbp is een intrigerende wijziging in het licht van de wetsgeschiedenis van Richtlijn 95/46/EG waar de Wbp nu eenmaal een implementatie van is. Met de memorie van toelichting in de hand valt uit de huidige tekst inderdaad op te maken dat er zelfs geen sprake meer is van een meldplicht voor een doorgifte aan een zogenaamd ‘derde land’ (lees: een land buiten de Europese Vrijhandelsassociatie), mits er gebruik wordt gemaakt van de bekende modelcontracten van de Europese Commissie. Dit is mogelijk gemaakt door Besluit 2004/915/EC van de Europese Commissie om Beschikking 2001/497/EG aan te passen en eerst nu geïmplementeerd in de Nederlandse wetgeving. De redactie van artikel 77 Wbp heeft daarbij niet aan leesbaarheid gewonnen, maar daar zullen we in het licht van de 25 januari jl. voorgestelde Algemene Verordening Bescherming Persoonsgegevens niet lang last van hebben.
Het blijft echter de vraag of deze wijziging, die in feite een aanvulling geeft op artikel 25 lid 1 van Richtlijn 95/46/EG (zonder de richtlijn aan te passen, een innovatieve wijze van een richtlijn herzien) nog wel beantwoordt aan de materiële eisen van artikel 8 van het Europees Handvest voor de Rechten van de Mens en artikel 8 van het Europees Verdrag voor de Rechten van de Mens. Immers, het inzage-, correctie- en verwijderingsrecht van betrokkene wordt nu geheel afhankelijk gesteld van het effectueren van de bevoegdheden uit de conform modelcontracten aangegane bewerkersovereenkomst van de verantwoordelijke.
Perspectief van een praktijkjurist
Vanuit het perspectief van een praktijkjurist is een andere vraag inmiddels minstens zo interessant: is het, ondanks het bestaan van deze formele opening voor doorgifte naar derde landen, wel verstandig om een cliënt te adviseren hier gebruik van te maken?
Er zijn een aantal aanleidingen om te stellen dat een redelijk, vakbekwaam handelend jurist een negatief advies dient uit te brengen in het geval hem of haar gevraagd wordt een uitspraak te doen over doorgifte van persoonsgegevens naar een derde land. In dit blog zal ik twee aanleidingen nader bespreken.
Datagraaierij
Allereerst het fenomeen “datagraaierij” waar met name de overheid van de Verenigde Staten zich schuldig aan maakt. Het gaat hier om het opvragen van gegevens uit hoofde van onder andere de bekende PATRIOT Act. Minder bekend is dat een andere Amerikaanse wet, de Protect America Act uit 2007, de bevoegdheid in het leven heeft geroepen om alle communicatie waarbij tenminste één van de betrokkenen zich buiten de grenzen van de Verenigde Staten bevindt, onder electronische surveillance te plaatsen zonder voorafgaand rechterlijk bevel. Service providers die gehoor geven aan een dergelijk bevel, hebben civielrechtelijke immuniteit tegenover derden.
Interessant daarbij is dat de Amerikaanse overheid met name aan de PATRIOT Act een extraterritoriale werking toekennen: als de gevraagde gegevens zich niet op het grondgebied van de Verenigde Staten bevinden maar wel beheerst worden door bedrijven met een substantiële presentie in de Verenigde Staten, worden dergelijke bedrijven voor de de facto keuze gesteld aan inzageverzoeken te voldoen of hun activiteiten in de Verenigde Staten te beëindigen. Dit zou vanuit het oogpunt van gegevensbescherming geen probleem hoeven te zijn als de Verenigde Staten een toetsingskader zouden hanteren wat vergelijkbaar is met ons EVRM en de Richtlijn 95/46/EG in termen van proportionaliteit.
Niet alleen de overheid van de Verenigde Staten heeft een forse datahonger, ook de overheden van populaire uitbestedingslanden zoals India en China tonen weinig scrupules op dit terrein en hebben evenmin een niveau van waarborgen wat als gelijkwaardig met dat van de EU beschouwd kan worden.
De eerder aangehaalde beslissing van de Europese Commissie (2004/915/EC) bevat echter een aantal elementen die in samenhang met de eerdergenoemde datagraaierij op gespannen voet staan met een eventuele doorgifte naar derde landen zoals de Verenigde Staten, India en China. Zo vermelden de overwegingen onder andere het volgende:
“(…) de gegevensexporteur is ook aansprakelijk indien hij geen redelijke inspanning doet om zich ervan te vergewissen dat de gegevensimporteur in staat is om aan zijn wettelijke verplichtingen volgens de contractbepalingen te voldoen ("culpa in eligendo") (…).” (2004/915/EC, overweging 5)
In het licht van de vergaande inzagebevoegdheden die overheden van derde landen hebben, valt te betwijfelen of een verantwoordelijke nog wel gepaste zorg heeft betracht indien persoonsgegevens naar derde landen zoals genoemd worden doorgegeven. Ook wordt in dit kader de vraag opgeroepen of verantwoordelijke niet aansprakelijk is voor de eventuele schade die een betrokkene lijdt als gevolg van een dergelijke inzage.
Tweede punt: waarborgen
Het tweede punt is dat een toezichthouder tot de conclusie kan komen dat, ondanks het gebruik van de standaardcontracten, de verwerking niet met voldoende waarborgen omkleed is en dat onmiddellijke opschorting van de verwerking geëist kan worden. Juist nu meer en meer kritische bedrijfsprocessen van organisaties voorwerp zijn van uitbesteding in enigerlei vorm, kan een dergelijk besluit een enorme impact hebben op de continuïteit van de bedrijfsprocessen. Deze situatie heeft zich nog niet voorgedaan, maar het is een kwestie van tijd dat dit zich eens gaat voordoen.
Om deze redenen acht ik het dan ook hoogst twijfelachtig of het uit oogpunt van juridische vakbekwaamheid verdedigbaar is om te adviseren om van deze route gebruik te maken.
W.H. van Holst
Wilt u reageren? Klik hier of stuurt u uw bijdrage in naar redactie@itenrecht.nl.
