Besluit van 12 mei 2017 tot wijziging van het Vrijstellingsbesluit Wbp in verband met de uitspraak van het Hof van Justitie van de Europese Unie van 6 oktober 2015 (C-362/14) strekkende tot het wijzigen van de in artikel 44, onder d, neergelegde vrijstelling van de meldplicht van artikel 27 Wet bescherming persoonsgegevens voor verantwoordelijken die gegevens doorgeven naar de Verenigde Staten op basis van het EU-VS-privacyschild

Staatsblad Besluit van 12 mei 2017 tot wijziging van het Vrijstellingsbesluit Wbp in verband met de uitspraak van het Hof van Justitie van de Europese Unie van 6 oktober 2015 (C-362/14) strekkende tot het wijzigen van de in artikel 44, onder d, neergelegde vrijstelling van de meldplicht van artikel 27 Wet bescherming persoonsgegevens voor verantwoordelijken die gegevens doorgeven naar de Verenigde Staten op basis van het EU-VS-privacyschild Hebben goedgevonden en verstaan: de gegevens in overeenstemming met de uitvoeringsverordening nr. 2016/1250 van de Europese Commissie van 12 juli 2016 overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad betreffende de gepastheid van de door het EU-VS-privacyschild geboden bescherming (PbEU L 207) naar een verantwoordelijke of bewerker gevestigd in de Verenigde Staten worden doorgegeven; of,. Dit besluit treedt in werking met ingang van de dag na de datum van uitgifte van het Staatsblad en werkt terug tot en met 21 augustus 2016. Lasten en bevelen dat dit besluit met de daarbij behorende nota van toelichting in het Staatsblad zal worden geplaatst. Het advies van de Afdeling advisering van de Raad van State wordt niet openbaar gemaakt op grond van artikel 26, zesde lid j° vijfde lid, van de Wet op de Raad van State, omdat het zonder meer instemmend luidt. NOTA VAN TOELICHTING Artikel I Onderhavige wijziging strekt ertoe om artikel 44, onderdeel d, van het Vrijstellingsbesluit Wbp in overeenstemming te brengen met de gevolgen van de uitspraak van het Hof van Justitie van de Europese Unie (hierna: HvJEU) van 6 oktober 2015 in de zaak Maximilian Schrems/Data Protection Commissioner (C-362/14). Deze wijziging is reeds bij brief van 30 november 2015 aan de Tweede Kamer aangekondigd (Kamerstukken II, 2015/16, 32 317, nr. 363, p. 13). In voornoemdezaak heeft het HvJEU de Beschikking van de Commissie nr. 2000/520/EG van 26 juli 2000 (PbEG L 215) (hierna: Safe Harbour-beschikking) ongeldig verklaard, omdat de persoonsgegevens van burgers van de Europese Unie (hierna: EU) onvoldoende werden beschermd in de Verenigde Staten (hierna: VS). Conform artikel 27 Wet bescherming persoonsgegevens (hierna: Wbp) moet een geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens worden gemeld aan de Autoriteit persoonsgegevens of aan de functionaris voor de gegevensbescherming. Dit stelt de betrokkene in staat om te zien wat een verantwoordelijke met zijn gegevens doet en of hij zijn in de Wbp voortvloeiende rechten op inzage, aanvulling en correctie moet uitoefenen. Echter, ingevolge artikel 29 Wbp kan men vrijstelling verleend krijgen van deze meldplicht indien het onwaarschijnlijk is dat een inbreuk op de fundamentele rechten en vrijheden van de betrokkenen zal plaatsvinden. Wanneer hier sprake van is, wordt nader uitgewerkt in het Vrijstellingsbesluit. Sinds 1 juli 2012 is in artikel 44, onderdeel d, van het Vrijstellingsbesluit Wbp een verwijzing naar de Safe Harbour-beschikking opgenomen1Deze wijziging van het Vrijstellingsbesluit had als doel om een verlichting van de administratieve lasten voor het bedrijfsleven teweeg te brengen. Zie de nota van toelichting bij het Besluit van 5 maart 2012, houdende wijziging van het Besluit kostenvergoeding rechten betrokkene Wbp, het Meldingsbesluit Wbp en het Vrijstellingsbesluit Wbp in verband met vermindering van administratieve lasten, Stb. 2012, 90, p. 11 en 12.. De meldplicht wordt niet nodig geacht wanneer doorgifte van gegevens plaatsvindt conform de Safe Harbour-beginselen, omdat er in dat geval sprake is van een passend niveau van gegevensbescherming in het derde land (in casu de VS) en daarom inbreuk op de rechten en vrijheden van betrokkenen onwaarschijnlijk is te achten.2Zie ook de nota van toelichting bij het oorspronkelijk Vrijstellingsbesluit Wbp, Stb. 2001, 250, p. 76. De Safe Harbour-beschikking vormde (tot haar ongeldigverklaring) een belangrijke grondslag voor doorgifte van persoonsgegevens van de EU naar de VS. De beschikking is tot stand gekomen op basis van artikel 25, zesde lid van de richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEU L 281) (hierna: richtlijn), die de Europese Commissie in staat stelt om bindende besluiten vast te stellen met de strekking dat een derde land een toereikend niveau van gegevensbescherming kent. Het bepalen van een dergelijk toereikend niveau van gegevens bescherming is van belang, omdat conform artikel 25, eerste lid, van de richtlijn, persoonsgegevens enkel mogen worden doorgegeven ter verdere verwerking naar een derde land indien, onverminderd de naleving van de bepalingen van de ter uitvoering van de richtlijn vastgestelde nationale bepalingen, dat land een passend beschermingsniveau waarborgt. Naar aanleiding van de ongeldigverklaring van de Safe Harbour-beschikking door het HvJEU in 2015 hebben er opnieuw onderhandelingen plaatsgevonden tussen de EU en de VS over een nieuw raamwerk voor de doorgifte van gegevens uit de EU naar de VS, waarin een passend beschermingsniveau wordt gewaarborgd. Deze onderhandelingen hebben geleid tot de vaststelling van uitvoeringsverordening (EU) 2016/1250 van de Commissie van 12 juli 2016 overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad betreffende de gepastheid van de door het EU-VS-privacyschild geboden bescherming (PbEU L 207) (hierna: uitvoeringsverordening) ook wel kortweg EU-VS-privacyschild genoemd. Deze uitvoeringsverordening voorziet in uitgebreidere waarborgen voor betrokkenen. Gelet op het feit dat het EU-VS-privacyschild een hoger niveau van gegevensbescherming biedt dan de Safe Harbour-beschikking, ligt het in de rede om het EU-VS-privacyschild voortaan ook vrij te stellen van de meldplicht van artikel 27 Wbp. In artikel 44, onderdeel d, van het Vrijstellingsbesluit Wbp dient daarom de verwijzing naar de Safe Harbour- beschikking te worden vervangen door de verwijzing naar de uitvoeringsverordening betreffende het EU-VS-privacyschild. Ingevolge artikel 51, tweede lid, Wbp is advies gevraagd over dit besluit aan de Autoriteit persoonsgegevens. Deze wijziging heeft de Autoriteit persoonsgegevens geen aanleiding gegeven tot het maken van inhoudelijke opmerkingen. Artikel II De uitvoeringsverordening EU-VS-privacyschild is ingevolge artikel 297 van het Verdrag inzake de werking van de Europese Unie (VWEU) met ingang van 21 augustus 2016 in werking getreden. Sinds dat moment is doorgifte van gegevens naar de VS mogelijk op grond van het EU-VS-privacyschild. Teneinde zoveel mogelijk rechtszekerheid te bieden aan verantwoordelijken, bepaalt artikel II daarom dat laatstgenoemden vanaf 21 augustus 2016 reeds vrijgesteld zijn van de meldplicht van artikel 27 Wbp bij toepassing van artikel 44, onderdeel d, van het Vrijstellingsbesluit. Er is voor een inwerkingtredingsbepaling met terugwerkende kracht gekozen omdat dit recht doet aan de opgebouwde verwachtingen van verantwoordelijken met betrekking tot de status van dit nieuwe instrument. Vanaf het moment van ongeldigverklaring van de Safe Harbour-beschikking in oktober 2015 tot aan de inwerkingtreding van het EU-VS-Privacyshield in augustus 2016 is de Tweede Kamer meerdere keren op de hoogte gesteld van zowel de gevolgen van de ongeldigverklaring van de Safe Harbour-beschikking, als over de voortgang en de inhoud van de nieuwe uitvoeringsverordening, die een hoger niveau van gegevensbescherming zou bevatten (zie o.a. Kamerstukken II, 2015/16, nr. 388). Uit deze voortgangsberichten bleek verder al dat Nederland het EU-VS-privacyschild in de verdere procedure tot vaststelling zou steunen (Kamerstukken II, 2015/16, 32 317, nr. 409, p. 15). Door deze constante berichtgeving en het daarin uiteengezette beleid van de regering met betrekking tot het EU-VS-privacyschild is het aannemelijk dat bij verantwoordelijken van gegevensverwerking het vertrouwen is gegroeid dat Nederland de vrijstelling van de meldplicht ook zou handhaven voor de opvolger van de Safe Harbour-beschikking, het EU-VS-privacyschild. Om tegemoet te komen aan deze verwachtingen werkt het bepaalde onder artikel I terug tot 21 augustus 2016.