In de motie doet de Eerste Kamer het verzoek aan de regering om voortaan bij alle wetsvoorstellen die een beperking op het grondrecht van de bescherming van de persoonlijke levenssfeer met zich meebrengen, de volgende criteria in de afweging te betrekken bij de vraag of die beperking wel gerechtvaardigd is:
- de noodzaak, effectiviteit en hanteerbaarheid van de maatregel;
- de proportionaliteit: de inbreuk mag niet groter zijn dan strikt noodzakelijk is;
- de resultaten van een Privacy Impact Assessment, zodat vooraf is onderzocht welke risico's de maatregel met zich meebrengt;
- de mogelijkheid van een effectief toezicht en controle op de uitvoering van de maatregel, te realiseren door onder meer audits door de onafhankelijke toezichthouder;
- beperking van de geldigheidsduur door een horizonbepaling of in ieder geval een evaluatiebepaling.
Met de motie geeft de Eerste Kamer mijns inziens een duidelijk signaal dat dit gremium privacy van groot belang vindt.
Commentaar
Dat de Eerste Kamer privacy belangrijk vindt heeft de kamer al herhaaldelijk bij stemmingen laten zien (EPD, slimme energiemeters, etc.). Een dergelijke kritische houding juich ik ook alleen maar toe.
De vraag kan wel gesteld worden of de huidige motie werkelijk iets nieuws brengt. Veel van de punten die de Eerste Kamer noemt, lijken ook al door de regering te worden onderkend en zouden min of meer vanzelf moeten spreken.
Eerste punt uit motie niet nieuw
Het eerste punt uit de opsomming is terug te vinden in de aanwijzingen voor de regelgeving. Die aanwijzingen zijn beleidsregels bij het opstellen van nieuwe regelgeving en in zoverre dus in beginsel bindend voor de regering. In artikel 6 van die aanwijzingen staat dat bij nieuwe regelgeving aandacht moet worden geschonken aan de noodzaak van een nieuwe maatregel. Op grond van de artikelen 7-9 moet vooraf nagedacht worden over de effectiviteit en hanteerbaarheid van de maatregel.
Ook aandacht voor proportionaliteit niet nieuw
Dat bij nieuwe regelgeving met de proportionaliteit er van rekening moet worden gehouden staat in aanwijzing 15. Ook het tweede punt uit de motie lijkt dus niet zo veel nieuws te brengen. Hooguit is nu geexpliciteerd dat de inbreuk op de persoonlijke levenssfeer bij die proportionaliteitsafweging moet worden betrokken (maar dat ligt volgens mij erg voor de hand).
Ook leidraad WBP bevat dergelijke aanwijzingen
De hiervoor genoemde punten staan ook in de vorig jaar door de Minister gepubliceerde Leidraad afstemmen van wetgeving op de Wet bescherming persoonsgegevens. Dat document is bedoeld voor de wetgevingsjurist en in zoverre vergelijkbaar met de aanwijzingen voor de regelgeving. In dat document is ondermeer te lezen dat veel aandacht moet worden geschonken aan de noodzaak (punt 1 uit de motie) en proportionaliteit (punt 2 uit de motie) van een nieuwe maatregel:
"Regelmatig dient zich de noodzaak aan tot het formuleren van wetsvoorstellen waarin een bepaalde inmenging of beperking op de persoonlijke levenssfeer moet worden geregeld. (...) Dergelijke wetsvoorstellen moeten in beginsel steeds worden aangemerkt als een inmenging, respectievelijk een inbreuk, op de grondrechten van artikel 8 EVRM, respectievelijk artikel 10 van de Grondwet. (.,..) De memorie van toelichting behoort dan ook een uitdrukkelijke - en dus geen impliciete - motivering te bevatten. Omvang en inhoud van de motivering dienen de ingrijpendheid van de inbreuk - zowel naar zwaarte als naar het aantal personen dat het betreft - te weerspiegelen. (...) Belangrijke aandachtspunten zijn in ieder geval de relatieve zwaarte van de inbreuk, de omvang van de kring van betrokkenen, de te volgen procedures, bewaartermijnen, kwaliteit van de gegevens, de aan de betrokkene toekomende rechten van inzage en correctie en het bieden van rechtsbescherming."
Privacy impact assessment minder nieuw dan het lijkt
Dat voortaan bij nieuwe regelgeving altijd de resulaten van een privacy impact assessment moeten worden bijgevoegd - het derde punt uit de opsomming van de motie - lijkt op het eerste gezicht wel nieuw. Wat is echter precies een privacy impact assessment? Definities hiervan verschillen sterk en het is niet geheel duidelijk wat de Eerste Kamer hier mee bedoelt.
Uit de motie volgt dat hieronder in ieder geval zou moet worden verstaan aandacht voor de vraag "welke risico's de maatregel met zich meebrengt". Ligt dat echter niet heel erg in de lijn van o.a. het aandacht schenken aan "de neveneffecten van een regeling" (aanwijzing 9), het streven "naar zo beperkt mogelijke lasten voor burgers" (aanwijzing 13) en de proportionaliteitstoetst van de gevolgen van de nieuwe regelgeving (aanwijzing 15)?
Bovendien erkent ook de regering in de genoemde Leidraad het belang van het inventariseren van de gevolgen voor de privacy van een nieuwe regeling:
Niettemin verdient het aanbeveling, zeker bij uitgebreidere wetsvoorstellen die een groot effect op de bescherming van de persoonlijke levenssfeer kunnen hebben, tevoren de gevolgen voor de persoonlijke levenssfeer in kaart te brengen.
Al met al lijkt ook dit onderdeel van de motie dus niet of nauwelijks iets nieuws te brengen.
Voortaan houden van privacy-audits al opgenomen in Leidraad
Dat effectief toezicht gehouden moet kunnen worden op de naleving van nieuwe regels is al op grond van aanwijzig 11 een aandachtspunt voor de regering. Dankzij de motie van de Eerste Kamer wordt hier nu aan toegevoegd dat dit toezicht plaats zou kunnen vinden door audits door het College Bescherming Persoonsgegevens te laten houden. In de Leidraad krijgt de wetgevingsjurist dat echter ook al gesuggereerd:
Advies
Overweeg bij de voorbereiding van wettelijke voorschriften met betrekking tot de bescherming persoonsgegevens of het zinvol is een vorm van intern toezicht te regelen. Dat kan door de benoeming van een functionaris voor de gegevensbescherming of een privacyfunctionaris voor te schrijven. Dat kan aanvullend of alternatief door een privacyaudit of een protocolplicht voor te schrijven.Nieuw is alleen dat de Eerste Kamer audits door het College Bescherming Persoonsgegevens stimuleert.
Vijfde punt uit motie wel nieuw
Echt nieuw is het laatste punt uit de motie. De Eerste Kamer zou graag zien dat voortaan bij alle nieuwe regelgeving met gevolgen voor de privacy beperkingen worden aangebracht op de geldigheidsduur van die nieuwe regels, of dat in ieder geval de regeling verplicht wordt geevalueerd na verloop van tijd. Dat is niet terug te vinden in de aanwijzingen voor de regelgeving of de genoemde Leidraad.