Antwoorden van de minister voor Rechtsbescherming op de vragen van het lid Buitenweg (GroenLinks) over het bericht dat de Consumentenbond de noodklok luidt om illegale datahandel (ingezonden 21 januari 2020, nr. 2020Z00799)

 

 

Vraag 1

Heeft u kennisgenomen van het bericht ‘Consumentenbond luidt noodklok om illegale datahandel’ van 14 januari 2020? 1)

 

Antwoord vraag 1

Ja

 

Vraag 2

Wat is uw appreciatie van het rapport ‘Out of Control’ van de Noorse consumentenbond? Deelt u de strekking van het rapport dat illegale datahandel staande praktijk is in Europa?

 

Antwoord vraag 2

Het rapport schetst een uitgebreid beeld van de handel in data en kaart terecht aan dat het voor burgers vaak zeer lastig is om controle te houden over wat er met hun persoonsgegevens gebeurt, zeker wanneer wet- en regelgeving niet worden nageleefd door de partijen die de gegevens verwerken. Het rapport focust met name op een aantal specifiek onderzochte apps, maar benoemt in brede zin ook dat de handel in data in Europa en daarbuiten wijdverspreid is. Het rapport zet vervolgens vraagtekens bij de kwestie in hoeverre deze grootschalige handel legaal kan zijn.

 

Ik zie net als de opstellers van het rapport dat er enorme hoeveelheden data worden verhandeld, maar vind het tevens belangrijk dat er per zaak wordt bepaald of de data in kwestie rechtmatig wordt verwerkt. Ik juich het dan ook toe dat dat de Autoriteit Persoonsgegevens (AP) in haar document “Focus AP 2020-2023” datahandel als één van de drie focusgebieden voor de komende jaren aanmerkt.[1]

 

Vraag 3

Deelt u de mening dat de groeiende handel in persoonsgegevens een risico vormt door individuen kwetsbaar te maken voor manipulatie en discriminatie?

 

Antwoord vraag 3

Het illegaal verhandelen en verkopen van persoonsgegevens vind ik een zeer kwalijke zaak. Deze handel draait om het creëren van gedetailleerde profielen van individuen door hun gedrag te monitoren. Wanneer er gedetailleerde profielen worden samengesteld die terug te voeren zijn op specifieke individuen kan er een vergroot risico op discriminatie en manipulatie ontstaan. Dit manifesteert zich met name wanneer de transparantie en informatieverplichtingen uit de relevante wetgeving worden geschonden, omdat betrokkenen zich in dat geval niet bewust zijn van het feit dat zij worden geprofileerd. Het is om die reden van groot belang dat de AP, zoals hiervoor aangegeven, datahandel als een focusgebied heeft aangemerkt.

 

Wanneer betrokkenen wél bekend zijn met de verwerking van hun gegevens hebben zij de mogelijkheid op te treden tegen mogelijke discriminatie of manipulatie door bijvoorbeeld een klacht in te dienen bij de toezichthouder.

 

Vraag 4

Klopt het dat het doorverkopen of doorgeven van persoonsgegevens aan derden, zonder toestemming van de consument, een schending van de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) betreft?

 

Antwoord vraag 4

Het is in dit kader van belang om onderscheid te maken tussen enerzijds het doorgeven van gegevens en anderzijds het doorverkopen van gegevens.

 

Bij het doorgeven van persoonsgegevens is het afhankelijk van de specifieke situatie of het doorgeven van gegevens rechtmatig is. Het doorgeven van gegevens is een ‘verwerking’ in de zin van de AVG en mag in ieder geval nooit zonder grondslag. De AVG biedt zes grondslagen waarop een verwerking van persoonsgegevens rechtmatig kan zijn. Het is afhankelijk van de specifieke situatie welke grondslag van toepassing is en of de verwerkingsverantwoordelijke voldoet aan alle eisen om de verwerking rechtmatig te laten zijn.

 

Voor de doorverkoop van persoonsgegevens ligt dit anders. Recent heeft de AP haar normuitleg over de rechtsgrond ´gerechtvaardigd belang´ gepubliceerd.[2] Hierin overweegt de AP onder meer dat bijvoorbeeld het enkel dienen van zuiver commerciële belangen of winstmaximalisatie geen ´gerechtvaardigd belangen´ van de verwerkingsverantwoordelijke kunnen zijn in de zin van artikel 6 AVG. Dit brengt met zich mee dat de doorverkoop van persoonsgegevens in beginsel alleen rechtmatig kan zijn wanneer de betrokkene hier toestemming voor heeft gegeven.

 

Vraag 5

Bieden de AVG en UAVG voldoende handvatten om ongewenste datahandel te bestrijden? Zo ja, hoe is het mogelijk dat illegale datahandel nog altijd staande praktijk is volgens het rapport van de Noorse consumentenbond? Zo nee, op welke punten zou additionele wetgeving wenselijk kunnen zijn?

 

Antwoord vraag 5

De AVG en de UAVG bieden voldoende handvatten om onrechtmatige handel in persoonsgegevens te bestrijden. De opstellers van het rapport betogen dat de onderzochte activiteiten veelal niet in overeenstemming zijn met de bestaande normen. Dit duidt er tevens op dat er voldoende normen zijn die de handel in persoonsgegevens reguleren, en dus om ongewenste handel in persoonsgegevens te bestrijden. Verder wil ik u er graag op wijzen dat de handel in gegevens in sommige gevallen ook wordt geraakt door de normen uit de Telecommunicatiewet. Het is dan ook goed om te vernemen dat de AP samenwerkt met haar collega toezichthouders om de onrechtmatige handel in data tegen te gaan.[3]

 

Vraag 6

Klopt het dat de privacyverklaringen van sommige van de onderzochte apps stellen dat gegevens als leeftijd, sekse en gedragsinformatie niet onder de categorie persoonsgegevens vallen? Is dat een overtreding van de AVG en UAVG? Zo nee, waarom niet? Zo ja, wat gaat u doen om deze overtredingen aan te pakken?

 

Antwoord vraag 6

Het begrip “persoonsgegeven” wordt in de jurisprudentie breed ingevuld. Het omvat alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Het is logischerwijs niet mogelijk om naar eigen inzicht van deze definitie af te wijken. Of dit al dan niet een overtreding van de AVG of UAVG betreft, is aan de bevoegde toezichthouder.

 

Vraag 7

In uw brief van 11 juni 2019 schreef u dat de aandacht van de Autoriteit Persoonsgegevens (AP) in 2019 nadrukkelijker uit zou gaan naar handhaving en sanctieoplegging; in hoeverre heeft die extra aandacht zich vertaald in concrete resultaten en opgelegde boetes of andere sancties voor het illegaal delen van data? 2)

 

Antwoord vraag 7

De AP heeft mij desgevraagd laten weten dat er inmiddels verschillende onderzoeken lopen op dit terrein. Deze onderzoeken kunnen mogelijk leiden tot handhaving. Gelet op een effectieve uitoefening van de toezichtstaken van de AP kan ik u geen concretere informatie geven over de hoeveelheid onderzoeken of handhavingstrajecten. De AP heeft op dit moment nog geen boetes of andere sancties voor het illegaal delen van persoonsgegevens gepubliceerd. Verder wil ik u er nogmaals op wijzen dat datahandel centraal staat in de strategie van de AP voor de komende jaren (Focus 2020-2023).[4]

 

Vrarag 8

Hoe vaak is de AP al een formeel handhavingstraject gestart naar aanleiding van het illegaal doorverkopen of doorgeven van persoonsgegevens aan derden, sinds de inwerkingtreding van de UAVG?

 

Antwoord vraag 8

Zie de beantwoording vraag 7.

 

Vraag 9

Bent u van plan om gehoor te geven aan de oproep van de Consumentenbond om meer te doen om illegale datahandel tegen te gaan? Zo nee, waarom niet? Zo ja, op welke manier gaat u dat doen?

 

 

 

 

Antwoord vraag 9

De oproep van de Consumentenbond om meer te doen tegen de illegale handel in data is zeer begrijpelijk. Ik juich het dan ook toe dat de AP zich hier de komende jaren specifiek op zal gaan richten.

In het rapport wordt verder aanbevolen om voldoende waarborgen op te nemen in de E-Privacy verordening, waarover in Brussel wordt onderhandeld. Zelf zal ik mij in samenwerking met de staatssecretaris van Economische Zaken en Klimaat in blijven zetten voor een E-Privacy verordening die burgers voldoende bescherming biedt.

 

Verder steun ik de oproep die de Noorse consumentenbond doet aan de verschillende toezichthouders op de naleving van het gegevensbeschermingsrecht, maar ook op consumenten- en mededingingsrecht, om waar nodig gezamenlijk op te treden tegen illegale datahandel.

 

 

 

1) Consumentenbond, 14 januari 2020, https://www.consumentenbond.nl/nieuws/2020/consumentenbondluidt-

noodklok-om-illegale-datahandel

2) Kamerstuk 32761, nr. 135, https://zoek.officielebekendmakingen.nl/kst-32761-135.html 

 

[1] Autoriteit Persoonsgegevens, “Focus AP 2020-2023”, pp. 20-21

[2] Autoriteit Persoonsgegevens, “Normuitleg grondslag ‘gerechtvaardigd belang’”, p.3

[3] Autoriteit Persoonsgegevens, “Focus 2020-2023”, p. 32

[4] Autoriteit Persoonsgegevens, “Focus AP 2020-2023”, pp. 20-21