Rina Steenkamp - Privacy en technologie
Hoofdstuk 11. Gegevensverkeer met landen buiten de Europese Unie
1. In afwijking van artikel 25 en behoudens andersluidende bepalingen van hun nationale recht betreffende specifieke gevallen, bepalen de Lid-Staten dat een doorgifte of categorie doorgiften van persoonsgegevens naar een derde land dat geen waarborgen voor een passend beschermingsniveau in de zin van artikel 25, lid 2, biedt, mag plaatsvinden mits:
a) de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft gegeven, of
b) de doorgifte noodzakelijk is voor de uitvoering van een overeenkomst tussen de betrokkene en de voor de verwerking verantwoordelijke of voor de uitvoering van op verzoek van de betrokkene genomen precontractuele maatregelen, of
c) de doorgifte noodzakelijk is voor de sluiting of de uitvoering van een in het belang van de betrokkene tussen de voor de verwerking verantwoordelijke en een derde gesloten of te sluiten overeenkomst, of
d) de doorgifte noodzakelijk of wettelijk verplicht is vanwege een zwaarwegend algemeen belang of voor de vaststelling, de uitoefening of de verdediging van een recht in rechte, of
e) de doorgifte noodzakelijk is ter vrijwaring van het vitale belang van de betrokkene, of
f) de doorgifte geschiedt vanuit een openbaar register dat krachtens wettelijke of bestuursrechtelijke bepalingen bedoeld is om het publiek voor te lichten en dat door een ieder dan wel door iedere persoon die zich op een gerechtvaardigd belang kan beroepen, kan worden geraadpleegd, voor zover in het betrokken geval is voldaan aan de wettelijke voorwaarden voor raadpleging.
Wanneer een land buiten de Unie onvoldoende bescherming van persoonsgegevens biedt, is verkeer van persoonsgegevens niet uitgesloten, doch onderworpen aan aanvullende regels. De bepaling bevat een aantal alternatieve criteria. Indien aan één daarvan is voldaan, kan de doorgifte aan dat land plaatsvinden, mits uiteraard ook overigens is voldaan aan alle criteria die reeds voor het verkeer binnen de Unie gelden.
Onderdeel a eist dat de toestemming betrekking heeft op de doorgifte naar het derde land. Artikel 1 onder h, vereist dat het moet gaan om een «vrije, specifieke en op informatie berustende wilsuiting». Dat betekent dat betrokkene op de hoogte moet zijn, zonodig op de hoogte moet worden gebracht, van het niveau van gegevensbescherming in het land waarnaar de gegevens zullen worden overgedragen, en zijn toestemming ondubbelzinnig op die overdracht betrekking moet hebben.
Onderdeel b opent de mogelijkheid dat bij de uitvoering of de voorbereiding van overeenkomsten ook doorgifte van persoonsgegevens plaatsvindt. Dit onderdeel heeft betrekking op de uitvoering van overeenkomsten waarbij de betrokkene partij is. Het kan bij voorbeeld nodig zijn dat voor de uitvoering van een overeenkomst een betaling plaatsvindt, welke betaling in het bancaire verkeer via een niet steeds te voorzien aantal landen verloopt. Het is dan niet nodig, zelfs niet altijd mogelijk om de betrokkene toestemming voor een dergelijke doorgifte te vragen. De betrokkene is dan degene die in het kader van een rekeningcourantverhouding een betalingsopdracht doet, waarbij zijn gegevens worden doorgegeven.
Onderdeel c heeft betrekking op de uitvoering van een overeenkomst waarbij de betrokkene geen partij is, doch waarbij hij belang heeft. Zo kan bij herverzekering van een in Nederland gesloten verzekering het onder omstandigheden noodzakelijk zijn de persoonsgegevens van de verzekerde door te geven aan een land buiten de Unie in het kader van een overeenkomst tussen een Nederlandse verzekeraar en een herverzekeraar, gevestigd buiten de Unie. Een dergelijke herverzekering is mede in het belang van de betrokkene. Ook een bank die in een betalingsopdracht opgenomen persoonsgegevens doorgeeft van een ander dan degene die de opdracht gaf, kan dit doen indien die doorgifte plaatsvindt in het kader van een overeenkomst tussen de opdrachtgever en een derde voor zover die overeenkomst is gesloten in het belang van de betrokkene. Deze bepaling legt een bank geen actieve plicht op om de persoonsgegevens die onder verantwoordelijkheid van een opdrachtgever worden verwerkt, als bewerker te controleren op overeenstemming met deze bepaling. Mogelijke schade wegens niet-naleving van dit voorschrift komt blijkens artikel 49, vierde lid, slechts voor rekening van de bewerker voor zover hem deze kan worden toegerekend. Dit is slechts het geval indien zonder bijzondere controle het de bank als bewerker onmiskenbaar duidelijk is, dat doorgifte in strijd zou komen met deze bepalingen. Dit onderdeel kan geen basis vormen voor de doorgifte van persoonsgegevens met het oog op direct marketing. Een dergelijke doorgifte vindt immers niet plaats met het oog op het belang van de betrokkene, doch slechts in het belang van degene die de betrokkene met behulp van de persoonsgegevens benadert.
Onderdeel d omschrijft de gevallen waarin zonder dat het belang van de betrokkene daarmee is gediend, desondanks de overdracht van gegevens is aangewezen. Dan moet een zwaarwegend algemeen belang in het geding zijn. Ook is doorgifte toegestaan wanneer dat nodig is voor de vaststelling, de uitvoering of de verdediging in rechte van enig recht. Dit omvat mede de doorgifte van persoonsgegevens aan bij voorbeeld een incassobureau gevestigd buiten de Unie voorafgaand aan een mogelijke gerechtelijke procedure.
Onderdeel e maakt de doorgifte mogelijk van persoonsgegevens wanneer vitale belangen van de betrokkene in het geding zijn. Voor een uitleg van dit begrip verwijzen wij naar de toelichting op artikel 77, eerste lid, onder e.
Onderdeel f ziet op openbare registers. De richtlijn spreekt van registers die bedoeld zijn om het publiek voor te lichten. Een ieder kan het kadaster, het handelsregister e.d. ongeacht of hij binnen of buiten de Unie zich bevindt of is gevestigd. Hetzelfde geldt voor registers die in de Nederlandse wetgeving weliswaar niet als openbaar register bij wet is ingesteld, maar waaruit belanghebbenden, wanneer aan bepaalde voorwaarden is voldaan, persoonsgegevens kunnen verkrijgen. Een voorbeeld is de kentekenregistratie. Beiden varianten wordendoor de richtlijn gedekt.
Deze bepaling bevat een noodklep indien de toegestane uitzonderingsgronden ontoereikend blijken. De Minister van Justitie kan in dat geval vergunning voor doorgifte verlenen. Aan de vergunning dienen nadere voorschriften te worden verbonden ter bescherming van de persoonlijke levenssfeer of de fundamentele rechten en vrijheden van personen. Deze voorschriften kunnen betrekking hebben op contractuele bepalingen die de verantwoordelijke in een overeenkomst met degene aan wie de gegevens worden doorgegeven, opneemt.
Over de inhoud van een vergunning zal het advies van de Registratiekamer worden ingewonnen. De verplichting daartoe is opgenomen omdat bij de Registratiekamer op dit terrein veel expertise aanwezig is. De inbreng van de Kamer zal aldus een belangrijke bijdrage kunnen leveren aan de kwaliteit van de beslissing. Toekenning van de bevoegdheid aan de Registratiekamer zou evenwel te ver gaan. Gelet op het weinig gebonden karakter van de bevoegdheid om de vergunning te verlenen en de abstracte materiële normen waarna wordt getoetst, zou een overdracht van de bevoegdheid tot het afgeven van de vergunning aan de Registratiekamer als zelfstandig bestuursorgaan op gespannen voet komen met de daarop betrekking hebbende Aanwijzingen inzake zelfstandig bestuursorganen. Voorts kunnen in de relatie tot derde landen aspecten een rol spelen die primair tot de verantwoordelijkheid van de regering moeten worden gerekend. Om deze redenen komen de vergunning en de daarin opgenomen voorwaarden uiteindelijk voor de verantwoordelijkheid van de Minister.
[MvT, pagina 194-195]