4.4.1 Het Verdrag van Straatsburg

In 1975 constateerde de Raad van Europa dat de persoonsgegevens­beschermingswetten van zijn leden een gemeenschappelijke basis kenden, maar verder erg verschillend waren.1 Met het oog op vooral de toename van (grensoverschrijdende) gegevensverwerkingen, ontstond de wens dit rechts­gebied verder te harmoniseren en de gegevensbescherming te versterken.2 De Raad beoogde deze harmonisatie tot stand te brengen met het in 1981 gesloten Verdrag van Straatsburg, ook wel aangeduid als het Dataprotectie­verdrag of Conventie 108.3 Dit verdrag is in 1999 geamendeerd en in 2018 gemoderniseerd (Convention 108+). Met de modernisering is (onder meer) de bepaling aangaande persoonsgegevensbeveiliging subtiel gewijzigd. Conventie 108+ zal, mits aan de voorwaarden is voldaan, van kracht worden in oktober 2023.4 Ik ga hieronder zijdelings op deze modernisering in.

Conventie 108 dient er van oorsprong toe de verschillen in de waarborging van persoons­gegevensbescherming weg te nemen en een gemeenschappelijk minimumbeschermingsniveau te creëren.5 Hieraan lagen grondrechtelijke en economische redenen ten grondslag.6 Het verdrag moest een impuls geven aan zowel de waarborging van de fundamentele rechten van individuen als het onderlinge vrije verkeer van persoonsgegevens en deze twee “fundamentele waarden met elkaar in overeenstemming brengen”.7 Hiertoe verplicht het tot de waarborging van een minimum beschermingsniveau en stelt het slechts voorwaarden en beperkingen aan het vrije verkeer van informatie voor zover dat “strictly justified” is voor de bescherming van rechten en vrijheden van individuen.8 De doelen van de eerder door de Raad van Europa vastgestelde privacy-resoluties en de OESO-richtlijnen lijken hiermee te zijn samengebracht.

Anders dan de resoluties van de Raad van Europa en de OESO-richtlijnen is het Verdrag van Straatsburg bindend. Landen die het hebben geratificeerd (waaronder Nederland), moeten de inhoud ervan in hun nationale recht garanderen.9 Dat de Raad van Europa bij het verdrag (anders dan bij de resoluties) ook het economische aspect van gegevensverwerking meeneemt, komt mogelijk doordat hij bij de voorbereiding van het Verdrag van Straatsburg nauw met de OESO heeft samengewerkt.10

Centraal in het Verdrag van Straatsburg staan de door de Raad van Europa erkende ‘grondbeginselen van gegevens­bescherming’.11 Een van deze beginselen ziet op de beveiliging van persoonsgegevens (art. 7). Op grond hiervan dienen de leden van de Raad te waarborgen dat er passende beveiligings­maatregelen worden getroffen ten aanzien van persoons­gegevens die in geautomatiseerde bestanden zijn bewaard. Deze maatregelen moeten de betreffende gegevens beschermen tegen onopzettelijke of ongeautoriseerde vernietiging, verlies, toegang, aanpassing of verspreiding. Met de modernisering van het verdrag wordt hieraan toegevoegd dat gegevens ook tegen onopzettelijk of ongeautoriseerd gebruik moeten worden beveiligd. Welke maatregelen passend zijn, hangt af van het soort gegevens, de functie van deze gegevens en de betrokken risico’s.12 Bovendien is het afhankelijk van “the current state of the art of data security methods and techniques in the field of data processing”.13

Op dit moment moeten de leden van de Raad de persoonsgegevensbeschermingsverplichtingen opleggen aan de controller of the file.14 Dit is de partij die op grond van het nationale recht bevoegd is vast te stellen welke categorieën van persoonsgegevens er in een geautomatiseerd bestand worden opgeslagen, wat het doel van dit bestand is, en welke verwerkingen ten aanzien van de gegevens zullen plaatsvinden.15 Uit Convention 108+ blijkt dat de verplichting moet gaan gelden voor de verwerkingsverantwoordelijke en, indien van toepassing, de verwerker. Het verdrag geeft er geen blijk van dat de voorschriften zouden moeten gelden voor bijvoorbeeld de producenten van hardware en software, hetgeen wel uit de privacy-resoluties volgde.16