Rina Steenkamp - Privacy en technologie
Hoofdstuk 11. Gegevensverkeer met landen buiten de Europese Unie
1. De Lid-Staten bepalen dat persoonsgegevens die aan een verwerking worden onderworpen of die bestemd zijn om na doorgifte te worden verwerkt, slechts naar een derde land mogen worden doorgegeven indien, onverminderd de naleving van de nationale bepalingen die zijn vastgesteld ter uitvoering van de andere bepalingen van deze richtlijn, dat land een passend beschermingsniveau waarborgt.
2. Het passend karakter van het door een derde land geboden beschermingsniveau wordt beoordeeld met inachtneming van alle omstandigheden die op de doorgifte van gegevens of op een categorie gegevensdoorgiften van invloed zijn; in het bijzonder wordt rekening gehouden met de aard van de gegevens, met het doeleinde en met de duur van de voorgenomen verwerking of verwerkingen, het land van herkomst en het land van eindbestemming, de algemene en sectoriële rechtsregels die in het betrokken derde land gelden, alsmede de beroepscodes en de veiligheidsmaatregelen die in die landen worden nageleefd.
Met het begrip 'doorgifte' in dit artikel wordt gedoeld op het ter kennis brengen van de gegevens aan een persoon die zich bevindt buiten de rechtsmacht van één van de landen van de Unie. Het gaat daarbij zowel om het gebruik van gegevens binnen concernverband, indien onderdelen van een concern zich binnen en buiten de Unie bevinden, de verstrekking aan derden die zich buiten de Unie bevinden, als om het ter beschikking stellen van de gegevens met het oog de bewerking daarvan. De bepaling is, evenals de bepaling in de richtlijn, in de lijdende vorm gesteld teneinde aan te geven dat deze zich richt tot een ieder. Dit betekent dat zowel verantwoordelijke als bewerker de geadresseerde zijn van het verbod tot doorgifte indien niet is voldaan aan de voorwaarden van dit hoofdstuk. Zie ook de toelichting op artikel 15.
Het uitgangspunt is dat de doorgifte van persoonsgegevens naar een land buiten de Unie slechts mogelijk is, indien dat andere land voldoende bescherming biedt. De beoordeling of hiervan sprake is, is allereerst opgedragen aan de verantwoordelijke. Het tweede lid van artikel 76 noemt een aantal criteria die bij de beoordeling in ieder geval in aanmerking moeten worden genomen. Het gaat daarbij niet om een beoordeling van de wetgeving in een ander land in het algemeen, doch om de vraag of met betrekking tot de doorgifte van de desbetreffende gegevens een passend beschermingsniveau kan worden geboden. In geval van twijfel zal de Registratiekamer nadere informatie kunnen verstrekken. Denkbaar is bijvoorbeeld dat de vraag rijst of medische gegevens kunnen worden uitgewisseld voor wetenschappelijk onderzoek met een land gelegen buiten de Unie. Is er in dat land sprake van een deugdelijke wetgeving inzake medische gegevens, of is er anderszins een praktijk die een zorgvuldige omgang met dergelijke gegevens waarborgt, dan kunnen deze gegevens, ongeacht de overige wetgeving in dat land, worden verstrekt.
De Registratiekamer heeft de vraag geopperd of de bepaling ook van toepassing is op het verzamelen van persoonsgegevens met het oog op doorgifte naar een derde land. Wanneer de doorgifte niet is toegestaan, is, zo vloeit voort uit de algemene bepalingen, ook de verzameling van gegevens niet rechtmatig.
Verder wijst de Registratiekamer op de situatie dat een verantwoordelijke bijvoorbeeld via Internet persoonsgegevens uit een derde land verzamelt. Zodra de verantwoordelijke over persoonsgegevens macht kan uitoefenen omdat hij deze voor zich heeft opgeslagen, is de wet van toepassing. Het is niet van belang van op welke wijze hij deze persoonsgegevens heeft verkregen. Dat betekent dat ook aan betrokkenen die zich bijvoorbeeld bevinden in de Verenigde Staten, wanneer hun persoonsgegevens worden vergaard, zij daarover behoren te worden geïnformeerd in de zin van de artikelen 33 en 34 van het wetsvoorstel. Zou zo iemand op enigerlei wijze bemerken dat met overtreding van dit voorschrift persoonsgegevens over hem zijn verwerkt, bijvoorbeeld doordat hij specifiek op hem gerichte reclame ontvangt, dan kan hij in Nederland de rechtsmiddelen aanwenden die deze wet hem toekent.
[MvT, pagina 193]