Vragen en antwoorden
11 vragen
1
Vraag
Bent u bekend met het artikel in Follow the Money van 1 mei 2025 getiteld «Europese persoonsgegevens belanden in Israël: zorgen om surveillance en mensenrechtenschendingen»?[1]
Antwoord
Ja.
2
Vraag
Klopt het dat de Europese Commissie Israël heeft aangewezen als «veilige bestemming» voor persoonsgegevens van Europese burgers, waardoor bedrijven gegevens mogen doorgeven aan Israël zonder aanvullende waarborgen?
Antwoord
De Algemene verordening gegevensbescherming (AVG) bepaalt dat doorgifte van persoonsgegevens aan derde landen, waaronder Israël, alleen onder bepaalde voorwaarden is toegestaan.[2] Doorgifte van persoonsgegevens zonder aanvullende waarborgen naar een derde land mag plaatsvinden als de Europese Commissie (EC), in een zogenoemd adequaatheidsbesluit, heeft besloten dat dit derde land voor doorgifte van persoonsgegevens een passend en met EU wetgeving vergelijkbaar beschermingsniveau biedt.[3] De Europese Commissie heeft op 31 januari 2011, op grond van artikel 25, zesde lid, van de destijds geldende gegevensbeschermingsrichtlijn 95/46/EG, een adequaatheidsbesluit genomen voor Israël.[4] In dit besluit werd geoordeeld dat Israël een passend beschermingsniveau biedt voor doorgifte van persoonsgegevens die vanuit de Europese Unie worden doorgegeven naar Israël.[5] Met het in werking treden van de AVG op 25 mei 2018 bleven de adequaatheidsbesluiten die op grond van de richtlijn waren vastgesteld, waaronder het adequaatheidsbesluit voor Israël, van kracht. De AVG verduidelijkt dat adequaatheidsbesluiten levende instrumenten zijn, en dat de Commissie doorlopend toezicht dient te houden op ontwikkelingen in derde landen die mogelijk gevolgen hebben voor het functioneren van bestaande adequaatheidsbesluiten.[6] Artikel 97 AVG vereist daarnaast dat de Commissie deze besluiten om de vier jaar evalueert om te bepalen of de landen en gebieden waarvoor een passend beschermingsniveau is vastgesteld nog steeds een passend beschermingsniveau voor persoonsgegevens bieden.[7] De Europese Commissie heeft op 15 januari 2024 haar eerste evaluatie afgerond van 11 adequaatheidsbesluiten die onder de gegevensbeschermingsrichtlijn (95/46/EG) waren genomen, waaronder ook het adequaatheidsbesluit voor Israël. In het verslag van de Commissie aan het Europees parlement en de Raad is vastgesteld dat Israël een passend niveau van gegevensbescherming blijft waarborgen, en dat er voor de doorgifte van gegevens naar Israël geen aanvullende waarborgen nodig zijn. Op grond van artikel 45, vierde lid, AVG, dient de Commissie doorlopend toezicht te houden op ontwikkelingen in derde landen die mogelijk gevolgen hebben voor het functioneren van een adequaatheidsbesluit.[8] In het antwoord op vraag 6 ga ik nader in op de bevoegdheden die de Commissie terzake heeft.[9]
3
Vraag
Kunt u aangeven om welke soorten persoonsgegevens het hier gaat en welke Nederlandse bedrijven of organisaties momenteel gegevens delen met Israëlische partijen?
Antwoord
De Europese Commissie beperkt in het adequaatheidsbesluit niet expliciet de soorten persoonsgegevens die mogen worden doorgegeven. Onder het adequaatheidsbesluit kunnen dus in beginsel alle persoonsgegevens worden gedeeld met Israëlische partijen. Artikel 30 AVG schrijft voor dat de Europese verwerkingsverantwoordelijke en in voorkomend geval de vertegenwoordiger van de verwerkingsverantwoordelijke, een register bijhoudt van de verwerkingsactiviteit die onder hun verantwoordelijkheid plaatsvindt. Het register dient onder meer een beschrijving te bevatten van de categorieën van betrokkenen en de categorieën persoonsgegevens, en de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, onder meer ontvangers in derde landen of internationale organisaties.[10] Het valt onder de verantwoordingsplicht in de AVG, dat individuele verwerkingsverantwoordelijken zelf kunnen aantonen dat zij voldoen aan de AVG.[11] Het is aan de Autoriteit Persoonsgegevens als onafhankelijke toezichthouder om te beoordelen of organisaties handelen in overeenstemming met de AVG, en om op te treden indien dit niet het geval is. Het bijhouden of, en zo ja welke, soorten persoonsgegevens Nederlandse bedrijven of organisaties doorgeven aan Israëlische partijen, is – zo dat al doenlijk is – geen taak van het kabinet.
4
Vraag
Hoe beoordeelt u het feit dat persoonsgegevens van Nederlanders terecht kunnen komen bij partijen in een land waar ernstige zorgen bestaan over massasurveillance, mensenrechten en het ontbreken van onafhankelijk toezicht op privacybescherming?
Antwoord
Zoals ik schreef in het antwoord op vraag 2, waarborgt Israël naar het oordeel van de Europese Commissie een niveau van persoonsgegevensbescherming dat vergelijkbaar is met het niveau dat in de EU wordt verzekerd.[12] In dit kader is vorig jaar bij de evaluatie van het adequaatheidsbesluit gekeken naar de privacybescherming in Israël, het onafhankelijk toezicht daarop en de toegang tot het recht.[13]
5
Vraag
Is er toezicht op wat er met de gedeelde gegevens gebeurt zodra deze Israël bereiken? Zo ja, hoe is dit toezicht geregeld en wie voert het uit?
Antwoord
De toepassing van de rechtsnormen voor gegevensbescherming in Israël wordt, blijkens het adequaatheidsbesluit voor Israël, gewaarborgd door bestuurlijke rechtsmiddelen en toezicht door een toezichthoudende autoriteit.[14] De Israëlische privacytoezichthouder, de Privacy Protection Authority (PPA) heeft (zoals ook in de evaluatie van het adequaatheidsbesluit wordt vastgesteld[15]) de bevoegdheid om onderzoek te verrichten en in te grijpen, en treedt onafhankelijk op.[16]
6
Vraag
In hoeverre acht u het wenselijk dat de Europese Commissie deze beslissing heeft genomen, terwijl landen als Frankrijk en Duitsland en mensenrechtenorganisaties daar kritiek op hebben?[17]
Antwoord
Op grond van artikel 45 AVG komt de bevoegdheid tot het nemen van de genoemde beslissing de Europese Commissie toe. Op grond van artikel 45, vierde lid, AVG, houdt de Commissie doorlopend toezicht op ontwikkelingen in derde landen die mogelijk gevolgen hebben voor het functioneren van een adequaatheidsbesluit.[18] Op grond van het vijfde lid gaat de Commissie, indien na toetsing blijkt dat een derde land niet langer over een passend beschermingsniveau beschikt, bij uitvoeringshandeling over tot het intrekken, wijzigen of schorsen van een adequaatheidsbesluit.[19] Zij betrekt daarbij de zienswijzen van de lidstaten maar ook die van (internationale) organisaties. De Europese Commissie heeft in de evaluatie, en ook nadien naar aanleiding van vragen van het Europees parlement,[20] benadrukt de revelante ontwikkelingen in Israël nauwlettend te volgen. In het geval ontwikkelingen in een land of gebied met een passend beschermingsniveau een negatieve invloed zouden hebben op het vastgestelde beschermingsniveau, kan de Europese Commissie gebruik maken van haar bevoegdheden op grond van artikel 45, lid 5, AVG om een adequaatheidsbesluit op te schorten, te wijzigen of in te trekken.
7
Vraag
Wat betekent deze beslissing concreet voor de bescherming van de persoonsgegevens van Nederlanders, met name van mensen die gebruikmaken van apps als Waze, MyHeritage en FaceTune?
Antwoord
Onder het adequaatheidsbesluit kunnen persoonsgegevens vanuit de Europese Unie aan Israëlische organisaties worden doorgegeven, omdat een met EU recht vergelijkbaar niveau van rechtsbescherming geldt.
8
Vraag
Bent u bereid in Europees verband bezwaar te maken tegen deze aanwijzing van Israël als «veilige bestemming» voor persoonsgegevens? Zo nee, waarom niet?
Antwoord
Daartoe zie ik geen aanleiding. Het nemen van een adequaatheidsbesluit op grond van artikel 45 AVG is een bevoegdheid van de Europese Commissie. Dat wil niet zeggen dat de verschillende lidstaten hierover niets in te brengen hebben; zij hebben bij de voorbereiding van zo'n besluit een adviserende rol via de op artikel 93 AVG gebaseerde comitéprocedure.[21] Zoals hiervoor beschreven, is het bestaande EU-adequaatheidsbesluit voor Israël op 15 januari 2024 positief geëvalueerd door de Europese Commissie èn heeft de Europese Commissie de bevoegdheid het besluit op te schorten of in te trekken. Nederland volgt de ontwikkelingen nauwlettend.
9
Vraag
Bent u bereid te onderzoeken of Nederlandse burgers geïnformeerd kunnen worden wanneer hun persoonsgegevens met Israël worden gedeeld? Kunt u toezeggen dat mensen tenminste de mogelijkheid krijgen hier bezwaar tegen te maken?
Antwoord
De AVG verplicht verwerkingsverantwoordelijken reeds om betrokkenen te informeren bij het voornemen persoonsgegevens door te geven aan een derde land of een internationale organisatie.[22] Ook hebben betrokkenen al het recht om onder bepaalde voorwaarden bezwaar te maken tegen die verwerking, zoals vastgelegd in artikel 21 AVG. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de AVG, en dient naleving van de AVG aan te kunnen tonen. Het is aan de Autoriteit Persoonsgegevens, als onafhankelijke toezichthouder, om toe te zien op de naleving van de AVG en waar nodig handhavend op te treden.
Deze vereisten uit de AVG gelden, op grond van artikel 3, tweede lid, AVG, ook onder bepaalde voorwaarden voor organisaties buiten de EU die persoonsgegevens van in de EU verblijvende betrokkenen verwerken. De AVG heeft daarmee een extra territoriale werkingssfeer. Artikel 27, eerste lid, AVG, bepaalt tevens dat de verwerkingsverantwoordelijke zoals hiervoor genoemd, schriftelijk een vertegenwoordiger in de Europese Unie dient aan te wijzen. Om te waarborgen dat de verordening wordt nageleefd, wordt de vertegenwoordiger gemachtigd door de verwerkingsverantwoordelijke of de verwerker, om naast hem of in zijn plaats te worden benaderd in verband met de verwerking van persoonsgegevens, in het bijzonder door toezichthouders. Een betrokkene in Nederland kan, op grond van artikel 77 AVG, een klacht indienen bij de Autoriteit Persoonsgegevens.
10
Vraag
Deelt u de opvatting dat privacy een grondwettelijk recht is dat niet ondergeschikt mag zijn aan economische en/of diplomatieke belangen? Hoe gaat u de privacygegevens van Nederlandse burgers beschermen bij het delen daarvan met Israël?
Antwoord
De vraag suggereert dat sprake is van een spanningsveld waarin (door de Europese Commissie) een keuze is gemaakt voor het een ten koste van het ander. Dat is evenwel niet het geval. Zoals ik schreef in het antwoord op de vragen 2 en 4, waarborgt Israël naar het oordeel van de Europese Commissie een niveau van persoonsgegevensbescherming dat vergelijkbaar is met het niveau dat in de EU wordt verzekerd. Er is dus geen sprake van dat het grondrecht wordt geschonden wanneer persoonsgegevens aan Israël worden doorgegeven.
11
Vraag
Hoe gaat u de privacygegevens van Nederlandse burgers beschermen bij het delen daarvan met Israël?
Antwoord
Zoals in het antwoord op vraag 9 is uiteengezet, is het aan elke verwerkingsverantwoordelijke om openheid te geven over het doorgeven van persoonsgegevens aan een derde land, zodat daartegen bezwaar kan worden gemaakt. Wanneer daarmee niets wordt gedaan, kan een klacht worden ingediend bij de Autoriteit Persoonsgegevens, als onafhankelijke toezichthouder.[23]