Artikel 4 [Wbp wel / niet van toepassing op grond van toepasselijkheid Nederlands recht]

Dit artikel geeft uitvoering aan artikel 4 van de richtlijn en hieraan zijn de overwegingen 19 tot en met 21 gewijd. Het grenst de toepasselijkheid van de Nederlandse wet af tegenover de wetgeving van andere landen, ongeacht of deze al dan niet deel uitmaken van de Europese Unie. Dit onderwerp wordt thans in de WPR geregeld in de artikelen 47 tot en met 49. De WPR gaat uit van de gedachte dat het mogelijk is een uitspraak te doen over de plaats van een registratie. Op het moment van de totstandkoming van deze wet, was dat nog een zinnig uitgangspunt. Bevindt deze plaats zich binnen de Nederlandse rechtsmacht, dan is het wetsvoorstel van toepassing. De artikelen 47 tot en met 49 geven aanvullende voorschriften wanneer enige voor Nederland van belang zijnde vormen van gegevensverwerking plaatsvinden.
In artikel 4 van het onderhavige wetsvoorstel wordt het voorwerp van regelgeving gevormd door de niet meer aan een bepaalde plaats toe te schrijven 'gegevensverwerking'. Het gevolg hiervan is dat, voor zover gegevensverwerking nog in verband staat met een bestand, de toepasselijkheid van de wettelijke voorschriften niet meer afhankelijk is van de plaats waar het betreffende bestand zich bevindt. In plaats daarvan is het aangrijpingspunt van het wetsvoorstel de plaats waar de verantwoordelijke is gevestigd. Heeft een verantwoordelijke meerdere vestigingen in de Europese Unie, dan dient hij ervoor zorg te dragen dat elk van de vestigingen voldoet aan de regels van het land waar de vestiging zich bevindt.
Deze regeling sluit beter aan bij de informatietechnologische ontwikkeling waarbij gegevens in toenemende mate een immaterieel karakter krijgen en daarmee een plaatsbepaling komen te ontberen. De klassieke regels voor de bepaling van het toepasselijk recht zijn dan niet toepasbaar. Niet meer de plaats van de gegevens of van het bestand, maar de plaats van vestiging van de verantwoordelijke voor deze gegevens wordt het aanknopingspunt voor jurisdictie. Slechts in het eerste lid, onder b, bleek een concessie aan deze benadering onontkoombaar. Wanneer de verantwoordelijke niet gevestigd is binnen de Europese Unie en met behulp van in Nederland zich bevindende middelen persoonsgegevens verwerkt, dan vindt de toepasselijkheid van het Nederlands recht zijn aanknopingspunt in de locatie van de voor de gegevensverwerking gebruikte fysieke middelen. De onderwerpen die worden geregeld in de artikelen 47 tot en met 49 WPR vinden daardoor voor een deel impliciet een regeling in dit artikel.
Uit de tekst van artikel 4 van de richtlijn blijkt dat onder het begrip 'vestiging' in de richtlijn wordt verstaan: één of meerdere centra van economische activiteit, die zich in verschillende staten van de Unie kunnen bevinden. Uit overweging 19 blijkt ook dat niet relevant is of het nu gaat om een bijkantoor of om een dochteronderneming met rechtspersoonlijkheid. De vestiging op het grondgebied van een Lid-Staat veronderstelt het effectief en daadwerkelijk uitoefenen van activiteiten voor een onbepaalde periode. De rechtsvorm van een dergelijke vestiging, of het nu gaat om een bijkantoor of om een dochteronderneming met rechtspersoonlijkheid, is niet doorslaggevend. In een concreet geval zal dus aan de hand van de feiten moeten worden vastgesteld of sprake is van een vestiging in de zin van de richtlijn en derhalve sprake is van toepasselijkheid van het nationale recht. Is er een uitoefening van economisch activiteit van tijdelijke en voorbijgaande aard, waartoe wellicht zelfs een tijdelijk onderkomen is verworven, dan kan niet worden gesproken van een vestiging en is het recht van toepassing op de vestiging van de verantwoordelijke.
Jurisprudentie van het Europese Hof van Justitie op dit punt is onder meer te vinden in de zaak 205/84, Duitse verzekeringen. De keerzijde van deze jurisprudentiële precisering is, dat het Nederlandse recht niet van toepassing is op vormen van gegevensverwerking in Nederland door verantwoordelijken die niet over een dergelijke vaste vestiging in Nederland beschikken. Wanneer er geen sprake is van 'vestiging', is er sprake van het aanbieden van diensten in de zin van artikel 59 van de EG-verdrag en hierop is het recht van de vestigingsplaats van de verantwoordelijke die deze diensten aanbiedt van toepassing. Uit het oogpunt van bescherming van de persoonlijke levenssfeer verbiedt artikel 1, tweede lid, van de richtlijn aan een dergelijk aanbod van diensten beperkingen op te leggen, indien op de verantwoordelijke het recht van één van de andere lid-staten van de Europese Unie van toepassing is. In dat geval moet in Nederland vreemd recht worden toegepast, zoals dit ook bijvoorbeeld in het internationaal privaatrecht voorkomt. Dit vreemde recht kan afwijken van het Nederlandse, doch slechts binnen de marges die de richtlijn toestaat. Wanneer het echter gaat om de aantasting van de Nederlandse openbare orde, dan wijkt de toepassing van vreemd recht. Worden bijvoorbeeld door een verantwoordelijke vanuit het buitenland in Nederland strafbare feiten gepleegd, dan is het Nederlands strafrecht van toepassing.
Wat betreft het aanbod van diensten uit landen van buiten de Unie kan het volgende worden opgemerkt. Wanneer dit aanbod bestaat uit de verwerking van persoonsgegevens binnen Nederland, daaronder begrepen het verzamelen van gegevens, is ingevolge de algemeen geldende regels het Nederlandse recht van toepassing. Het voorwerp van regelgeving is immers het ruime begrip 'gegevensverwerking'. Het wetsvoorstel eist van de verantwoordelijke van buiten de Unie dat hij in Nederland een vertegenwoordiger aanwijst die daardoor op Nederlands territoir aansprakelijk is voor de naleving van de wettelijke regels met betrekking tot de van buiten de Unie verrichte verwerking van persoonsgegevens op Nederlands territoir. Daarenboven stellen de artikelen 76 tot en met 78 bijzondere eisen wanneer sprake is van vormen van gegevensverwerking die leiden tot de doorgifte van persoonsgegevens aan landen buiten de Europese Unie.
Het bovenstaande geldt niet met betrekking tot andere landen, zowel binnen als buiten de Unie, voor wat betreft de toepasselijkheid van de in artikel 75 strafbaar gestelde gedragingen. Hetzelfde geldt met betrekking tot de regeling van de bevoegdheden van de Registratiekamer (zie artikel 28, zesde lid, van de richtlijn) en de beveiligingsverplichting, bedoeld in artikel 17, eerste lid (zie artikel 17, derde lid, tweede gedachtenstreepje, van de richtlijn).
Overweging 21 van de richtlijn stelt buiten twijfel dat de territorialiteitsregels inzake het strafrecht door de richtlijn onverlet worden gelaten. Daar waar bij de implementatie van de richtlijn bepaalde gedragingen zijn strafbaar gesteld, zijn de artikelen 1 tot en met 8 van het Wetboek van Strafrecht in samenhang met artikel 91 van het Wetboek van Strafrecht van toepassing. Dit betekent bijvoorbeeld dat wanneer een verantwoordelijke, gevestigd binnen of buiten de Unie, persoonsgegevens verzamelt zonder de betrokkene daarvan in kennis te stellen in geval van raadpleging of dienstverlening via telecommunicatie langs geautomatiseerd weg naar Nederlands recht strafbaar is. Volgens de vaste jurisprudentie van de Hoge Raad is namelijk het Nederlands strafrecht van toepassing op een gedraging waarvan het gevolg in Nederland zich afspeelt, ook al bevindt de dader zich in het buitenland. Het strafbaar feit wordt dan geacht (mede) in Nederland te zijn begaan.
In veel gevallen zal een eventuele strafvervolging bij verstek worden afgedaan, en de veroordeelde zal in het opsporingsregister vermeld worden. Wanneer de veroordeelde bijvoorbeeld op Schiphol aankomt en de termijn van verjaring nog niet is ingetreden, kan de straf ten uitvoer worden gelegd. Ditzelfde geldt wanneer het strafbaar feit met een bestuursrechtelijke boete afgedaan is. De alternatieven om een verzoek tot overneming van de strafvervolging te doen of om uitlevering te vragen, komen bij deze categorie van strafbare feiten minder snel in beeld en zijn daarom van meer theoretische aard.
Overigens is het Nederlandse strafrecht eveneens van toepassing als vanuit Nederland een verantwoordelijke in het buitenland een dergelijk strafbaar feit pleegt. Zou een Nederlandse verantwoordelijke via telecommunicatie in het buitenland onopgemerkt persoonsgegevens vergaren, dan kan in Nederland een strafvervolging tegen hem worden ingesteld, bijvoorbeeld naar aanleiding van een klacht uit dat buitenland als reactie op het gebruik van de aldus vergaarde gegevens.
Artikel 4, eerste lid, onder b, van de richtlijn bepaalt 'Elke Lid-Staat past zijn nationale, ter uitvoering van deze richtlijn vastgestelde bepalingen toe op elke verwerking van persoonsgegevens: ... 'b) waarvan de voor de verwerking verantwoordelijke niet gevestigd is op het grondgebied van de Lid-Staat, maar in een plaats waar de nationale wet uit hoofde van het internationale publiekrecht van toepassing is;'.
Deze bepaling behoeft geen bijzondere implementatie. Uit het volkenrecht – daaraan kan een nationale wet niets veranderen – vloeit voort dat de Nederlandse wetgeving van toepassing is op bijvoorbeeld schepen, luchtvaartuigen en Nederlandse ambassades of andere diplomatieke vertegenwoordigingen in het buitenland. Daar de WBP deel zal uitmaken van het Nederlandse recht, heeft dit automatisch tot gevolg dat het met dit onderdeel van de richtlijn beoogde resultaat wordt bereikt.
Het derde lid geeft ten slotte uitvoering aan artikel 4, tweede lid, van de richtlijn en moet worden gezien in samenhang met de bepalingen over het verkeer van persoonsgegevens met landen buiten de Europese Unie. De algemene gedachte is dat de regelgeving zo moet zijn ingericht dat deze niet gemakkelijk met de moderne informatietechnologische middelen kan worden omzeild. De bepaling vormt het sluitstuk op de regelgeving in die zin dat een verantwoordelijke van buiten de Europese Unie geen gegevens mag verwerken, zonder in in de vorm van een vertegenwoordiger een aangrijpingspunt voor rechtstoepassing te bieden. Overeenkomstig het advies van de Registratiekamer is in artikel 75 de overtreding van dit voorschrift strafbaar gesteld.
Uit de samenhang met artikel 4, tweede lid, blijkt dat wanneer slechts sprake is van doorvoer van gegevens, deze bepaling niet van toepassing is. In die gevallen is er immers niemand in Nederland die enige feitelijke macht over de gegevens kan uitoefenen. Zodra daarentegen sprake is van opslag van gegevens onder verantwoordelijkheid van iemand van buiten de Unie, dient deze een vertegenwoordiger aan te wijzen in Nederland.

[MvT, pagina 74-77]