VN (O) N CW B Aan de voorzitter en (plv.) leden van de Vaste Commissie voor Veiligheid en Justitie van de Tweede Kamer der Staten-Generaal Postbus 20018 2500 EA DEN HAAG Briefnummer Den Haag 11111.507/DdNlMan 7 september 2011 Onderwerp Telefoonnummer Kabinetsnotitie Privacy 0703490354 E-mail Nood@vno-ncw.nl Hoogedelgestrenge dames en heren, VNO-NCW en MKB- hebben kennis genomen van de Kabinetsnotitie privacy en delen graag onze zienswijze op dit voor het bedrijfsleven belangrijke onderwerp. Zorgvuldige omgang met persoonsgegevens is een direct ondernemersbelang. Voor zorgvuldige omgang bestaat een kant-en-klare businesscase: goede omgang met gegevens betekent foutloze processen, draagt bij aan positieve relatie met de klant, geeft vertrouwen bij klant en relatie. Onzorgvuldige omgang doet daarentegen ondernemers hun klanten verliezen. De markt is de krachtigste toezichthouder. Daarom pleiten VNO-NCW en MKB- ervoor om als uitgangspunt voor het beleid te nemen: zoveel mogelijk proportioneel en risicogericht te opereren om zo de balans tussen gezonde gegevensverwerking en privacybescherming te borgen. De Kabinetsnotitie komt hieraan al grotendeels tegemoet, maar een aantal punten verdient verdere zorgvuldige uitwerking. Malietoren 1 Bezuldenhoutseweg 12 1 Postbus 93002 1 2509 AA Den Haag www_vno-ncw_nl/ 070-349 03 491 www_mkb_nl/ 015-219 12 12
Blad 2 In het eerste deel van de bijlage vindt u onze reactie op de diverse onderwerpen uit de Kabinetsnotitie. In het tweede deel vragen wij uw aandacht voor de problemen die het bedrijfsleven ondervindt bij het voldoen aan privacyregelgeving, onder meer door de opstelling van de toezichthouder. Hoo~end, )., -... -",..,.J..... ' ~.. _... / "./~..,...,..."; " _.-.:".:..... P.-'. :.. -'--""':~ -< ~ ~ --~-7./ //.;;/...- drs. C. Oudshoom Directeur Beleid - ~.-' / Bijlage
VN (O) N CW B VNO-NCW en MKB- reactie op de Kabinetsnotitie Privacybeleid en toezicht terzake I VNO-NCW en MKB- zijn positief over de Kabinetsnotitie privacybeleid. Deze behandelt integraal de vraagstukken rondom privacy. We herkennen ons in het evenwicht tussen gegevensbescherming en bedrijfsbelang dat uit de brief spreekt. Op enkele specifieke onderwerpen uit de notitie willen we hieronder echter ingaan, omdat deze zaken ons inziens zorgvuldige behandeling vergen. Reactie op de notitie Privacybeleid Brede meldplicht datalekken vergt zorgvuldige uitwerking De Kabinetsnotitie geeft aan dat een meldplicht datalekken voor het brede bedrijfsleven zal worden ingevoerd. Dit betekent dat bij een (mogelijk) verlies van data, ondernemers dit dienen te melden bij de toezichthouder. VNO-NCW en MKB- zien dat als persoonsgegevens risico lopen, de betreffende persoon dat moet weten. VNO-NCW en MKB- zijn van mening dat de brede meldplicht forse impact zal hebben op zowel bedrijven als op consumenten en de toezichthouder en pleiten dan ook voor een helder afwegingskader. De meldplicht moet niet gericht zijn op zoveel mogelijk gegevens verzamelen en boetes uitdelen, maar op het dienen van achterliggende rationale: het inlichten van de betrokkene naar aanleiding van zijn of haar risico. De volgende zaken vragen daartoe nadere aandacht: De problematiek die ten grondslag ligt aan de meldplicht moet helder zijn. Welk concreet probleem moet deze plicht oplossen? Gaat het om identiteitsfraude, of om het voorkomen van SP AM? Duidelijkheid hierover is voorwaarde voor goede naleving; Voldoende aannemelijk moet zijn dat de meldplicht ook daadwerkelijk de oplossing is voor die problematiek en dat deze effectief en proportioneel is; Een helder afwegingskader wanneer gemeld moet worden dient te worden neergezet, gebaseerd op daadwerkelijk risico voor de betrokkene; Ex ante dient een inschatting te worden gemaakt hoeveel extra lasten deze meldplicht verschillende soorten bedrijven zal opleveren, een ACT AL toets ligt voor de hand; wegens concurrentieverhoudingen niet vooruit loopt op de rest van Europa en indien mogelijk EU-breed het systeem van melden te uniformeren; Differentiatie in melden mogelijk is: bij toezichthouder ofbij zowel toezichthouder als betrokkene; Positieve prikkels in zijn gebouwd voor bedrijven die aan 'good data governance' doen en consequent melden, bijvoorbeeld vermindering of vrijstelling van inspecties; Een 'voorlopige melding' van een lek bij de toezichthouder mogelijk te maken die kan worden ingetrokken ofkan worden bevestigd; Boetebevoegdheid Cbp staat haaks tegenover de open norm van de wet Het kabinet overweegt het sanctie-instrumentarium van het CBP uit te breiden met de bestuurlijke boete. I Bijlage bij briefur. IIII 1.507/DdN.Man, d.d. 7 september 201 1
YN (ü) N CW B VNO-NCW en MKB- zien bovendien geen tekorten in dit instrumentarium. De veelal open normen in de Wbp staat haaks tegenover de wens de bestuurlijke boete toe te voegen aan het sanctie-instrumentarium van het Cbp. Bij een op principes gebaseerde wet zoals de Wbp is een gelijk -op principe gebaseerdtoezicht geboden. Ook is het boete-instrument zelf inflexibel; het wordt alleen onverkort opgelegd en houdt geen rekening met een bewuste of onbewuste schending van de regels. De op principes gebaseerde norm, de juridisering van het domein en het gebrek aan expertise zullen vooral het MKB opzadelen met de vraag aanlopen hoe exact invulling te geven aan de naleving. De toezichthouder moet de boete daarom niet meteen inzetten, maar ook werken met waarschuwingen en het inbouwen van toenemende sanctieschalen. Sanctionering is volgens VNO-NCW en MKB- sowieso pas wenselijk bij overduidelijke, ernstige schendingen. Privacy by Design: faciliteren, niet reguleren Privacy by design (het proces om al tijdens de ontwerpfase van een dienst of product na te denken over privacy) spreekt ondernemers aan en wordt in toenemende mate toegepast. Het Kabinet kiest ervoor te onderzoeken hoe de overheid kan bijdragen om toepassing van privacyvriendelijke systemen te bevorderen. VNO-NCW en MKB- benadrukken dat meer dan de normatieve aansporing die volgt uit artikel 13 Wbp niet gewenst is, noch noodzakelijk is. De wet bevat die prikkel reeds. Procedurevoorschriften of technische vereisten vooraf zijn strijdig met de geest van de Wbp en werken administratieve lasten in de hand. Voorkomen moet tevens worden dat de toezichthouder met concrete voorschriften rechtstreeks op de stoel van de ondernemer gaat zitten. Het bedrijfsleven heeft de meeste baat bij een handzame Privacy Ouick Scan (PIA) Zoals de Kabinetsbriefverwoordt, kan een PIA inzicht geven in de risico's van het verwerken van persoonsgegevens. VNO-NCW en MKB- zijn destijds betrokken geweest bij het opstellen van een PIA door het Cbp. Deze PIA verwerd echter al snel tot een onwerkbaar boekwerk met veel compliancy verplichtingen en de onevenredig zware (financiële) verplichtingen van dien. VNO-NCW en MKB- zijn van mening dat juist het MKB ook een scan zou moeten kunnen toepassen. Daarom ontwikkelen we dit jaar een handzame generieke Privacy Quick Scan. Daarmee kunnen zowel grote als kleinere bedrijven een eerste inschatting maken over de privacy effecten van een dienst ofproduct voor hun bedrijf en hun klanten of werknemers, en op basis daarvan yerdere stappen nemen. Accountability Het Kabinet geeft aan accountability niet in de wet vast te willen leggen en geeft aan dat het bedrijfsleven zelf moet kunnen invullen hoe zij verantwoordelijkheid neemt voor privacy en hoe zij hierover communiceert. VNO-NCW en MKB- steunen deze positie. 2
YN (O) N CW B Privacybeschenning via zelfregulering tot een nonnaal onderdeel van de bedrijfsvoering maken is te verkiezen, zeker als dit betekent dat partijen die hun verantwoordelijkheid nemen in aanmerking zouden kunnen komen voor verlaging van administratieve lasten of andere verplichtingen zoals meldingen. Wij willen uitdrukkelijk aangeven dat accountability er per bedrijf anders uit zal zien, omdat opvattingen en bedrijfsprocessen per onderneming verschillen. Knelpunten rond toezicht Zoals hiervoor aangegeven, is zorgvuldige omgang met persoonsgegevens een bedrijfsbelang. Het zorgt voor foutloze processen en voorkomt verstoorde klantrelaties. En omgekeerd: bij onzorgvuldigheid gaat vertrouwen te paard en zal ook de klant opstappen. De beste toezichthouder is nog altijd de markt. Dat de maatschappij gebaat is bij het bestaan van een toezichthouder is evident. We nemen echter waar dat het Cbp disbalans in taken en prioriteiten vertoont. De toezichthouder treedt namelijk op als pseudowetgever, verliest de balans tussen haar uitgangspunten uit het oog, legt haar voorlichtende taak af en remt door deze houding innovatie. Daarbij zorgen verbijzondering en juridisering van het privacydomein voor afbreuk aan het gezond functioneren van het bedrijfsleven. Opereren in de geest van de wet wordt lastiger en bedrijven moeten jaarlijks voor vele miljoenen aan advies inwinnen. Het recente artikel van de voorzitter van het Cbp in het Advocatenblad 2011/14 getiteld: 'Voor advocaten is privacy een vakgebied met een rijke toekomst' is hier getuige van. Het Cbp treedt op als pseudowetgever Het Cbp ziet toe op naleving van de Whp, maar adviseert ook het Kabinet over wetgeving. VNO-NCW en MKB- wijzen op de noodzaak tot het bewaken van het onderscheid tussen de twee petten van de toezichthouder, te weten toezicht en beleid. Een herijking van de verantwoordelijkheden van het College -zoals dat destijds bij de NmA en het toenmalige EZ is gebeurd- kan uitkomst bieden. De toezichthouder houdt toezicht, de wetgever doet aan wetgeving. Ook de 'soft-iaw' die de toezichthouder creëert is onwenselijk: de toezichthouder vult met haar uitspraken de open nonn in. Die invulling wordt echter vaak niet inhoudelijk getest bij de rechter omdat bedrijven bang zijn voor hun goede naam. Uitspraken van de toezichthouder verworden derhalve de facto tot 'jurisprudentie', terwijl niet getoetst is of deze ook recht doen aan de letter en geest van de wet. De in de Kabinetsnotitie genoemde procedure die bezwaar en beroep openstelt is een goede stap, maar neemt de barrière voor het bedrijfsleven niet voldoende weg: nog steeds blijft het bedrijfsrisico van individuele bedrijven bestaan om -zodra zij ageren tegen een uitspraak van het Cbp- in de media genoemd te worden als mogelijke privacydelinquent. Dit is vaak helaas voldoende stok achter de deur om niet te procederen. 3
VN (Q) N CW B De 'soft law' die ontstaat zou dus op een andere manier door derden toetsbaar moeten zijn, ook wanneer bedrijven op wie de uitspraak van toepassing was kiezen om niet de gang naar de rechter te maken. Het Cbp wekt de schijn selectief op te treden Het ontbreekt veelal aan inzicht in de wijze waarop de toezichthouder de verschillende sanctiemiddelen toepast bij vermeende overtredingen van de WBP. De proportionaliteit \'an de handhaving kan niet getoetst worden. De indruk van een arbitraire handhaving is niet in het belang van de toezichthouder en de markt en VNO-NCW en MKB- pleiten daarom voor meer helderheid m.b.t. sanctiemiddelen en vragen een procesbeschrijving voor het toepassen van deze sancties. Het Cbp verliest de balans tussen uitgangspunten uit het oog De data protectie richtlijn 95/46/EG die oprichting van nationale privacy authoriteiten voorschrijft, gaat uit van een balans tussen vrij verkeer van data voor de interne markt en een zorgvuldige bescherming van persoonsgegevens. Maar ook van andere rechten en vrijheden. Daar valt ook het recht onder om in de vorm van een onderneming -zoveel mogelijk ongehinderd door niet noodzakelijk lasten- economische activiteiten te ontplooien. De toezichthouder zou in haar adviserende rol een betere belangenafweging maken tussen beide doelstellingen en niet a priori inzetten op maximale privacybescherming. Zo neemt de toezichthouder bijvoorbeeld de adviserende taak richting het Kabinet met verve op zich neemt en benadert zij pro-actief de Tweede Kamer. Naar de mening van het bedrijfsleven schiet de toezichthouder in haar adviserend werk soms door en voert zij regelgeying dan te letterlijk en selectief aan om fundamentele rechten te verdedigen, terwijl advies en handhaving zouden moeten plaatsvinden op basis van principes, normen en de geest van de wet, met inachtneming van de balans tussen vrij verkeer van data voor de interne markt en zorgvuldige bescherming van persoonsgegevens. Het Cbp laat kansen liggen door naleving niet te bevorderen door voorlichting en regelhulp Bij toezicht hoort ook ex-ante voorlichting. Zowel richting betrokken personen als richting verwerkende bedrijven. De toezichthouder heeft deze maatschappelijke taak tegenwoordig bijna geheel afgelegd. VNO-NCW en MKB- betreuren dat de informatiefunctie wordt verlaten, juist bij een dusdanige juridisering en verbijzondering, in combinatie met onbekendheid met de wet. De oplossing om ter bekendmaking dan maar extreme boetes op te leggen -zoals gesuggereerd werd bij het door ondernemers op internet zetten van camerabeelden - is onwenselijk. Het MKB moet bij afwezigheid van voorlichting door de verregaande juridisering al snel tegen forse prijzen kennis inkopen, terwijl grote ondernemingen die hun innovaties in een vroeg stadium willen toetsen tegen een dichte deur aanlopen. Deze praktijk is extra knellend, omdat interpretatie van regels door bedrijven en de toezichthouder ex-post nog al eens uit elkaar blijkt te lopen. Kosten om systemen te laten aanpassen of om opnieuw een specialist in te huren kunnen fors oplopen. Na aanpassing blijft de onzekerheid bestaan of een proces nu wel goed is ingericht. Innovatie is niet gebaat bij deze werkwijze, omdat het de facto een risico wordt te investeren in nieuwe services. 4
VN (O) N CW B Mogelijke oplossingen De dubbele pet die het Cbp op heeft is niet wenselijk en stapelt -volgens de ondernemerskoepels- onverenigbare verantwoordelijkheden opeen. Het beter scheiden van het beleid, dat tot de verantwoordelijkheid van de Minister behoort, en de uitvoering daarvan en toezicht daarop dat bij het Cbp ligt is wenselijk. Een dergelijke scheiding is eerder aangebracht, bijvoorbeeld in 2008 in een 'relatiestatuut' tussen het Ministerie van Economische Zaken en de NMa. Het bedrijfsleven ziet heil in een evenwichtiger overleg over toezicht, waarbij alle maatschappelijke stakeholders betrokken zijn. Het zou daarom goed zijn wanneer Cbp meer direct contact heeft met de praktijk, bijvoorbeeld door een betere afvaardiging van privacyprofessionals met praktijkervaring. Ook verdient het aanbeveling de Raad van Advies waarin verschillende geledingen van de samenleving zitting hebben, sterker te betrekken. Gezien de juridisering van het domein zien VNO-NCW en MKB- graag regel hulp voor de ondernemer, waarbij de open norm niet wordt ingevuld, maar waarin wel richting wordt gegeven door de toezichthouder. De Wbp is ondergebracht bij het Ministerie van Veiligheid en Justitie. Juist vanwege de steeds grotere betekenis van (persoons)gegevens binnen het bedrijfsleven, verdient het ook aanbeveling het Ministerie van EL&I een forsere rol te geven dan nu het geval is. 5