Als het CBP de privacyschending van Netflix niet kan aanpakken, zou staatssecretaris Dekker de kwestie ter sprake moeten brengen met zijn Luxemburgse collega. Dat vindt D66 naar aanleiding van het antwoord van Dekker op eerdere Kamervragen van de Democraten. Uit die antwoorden van Dekker blijkt dat Netflix zich inderdaad niet houdt aan de Nederlandse Wet bescherming persoonsgegevens, maar dat de aanbieder van internetvideo niet kan worden aangepakt omdat het een vestiging heeft in Luxemburg.

Als Netflix een vestiging had in Nederland of juist helemaal geen vestiging in Europa, dan had het College bescherming persoonsgegevens kunnen ingrijpen, zo blijkt uit de reacties van zowel het CBP als van juristen. In de Wet bescherming persoonsgegevens is een artikel(artikel 4, lid 2) opgenomen dat het mogelijk maakt verwerkers van persoonsgegevens die geen vestiging hebben in Nederland, aan te pakken. Maar omdat Netflix slim domicilie heeft gekozen in Luxemburg, staat Nederland nu machteloos.

CBP houdt kaarten tegen de borst

Tweede Kamerlid Kees Verhoeven van D66 hoopt nu dat Dekker zijn Luxemburgse collega op de privacyschending wijst en dat daardoor de Luxemburgse toezichthouder kan ingrijpen. Het CBP kan eveneens zijn Luxemburgse collega vragen een onderzoek in te stellen, maar woordvoerder Lisette Rutgers zegt daarover niets te willen zeggen.

“In deze zaak is het zo dat het aan Luxemburg is om de eerste stappen hierin te zetten. Ik wil niet ingaan op eventuele stappen hierin van het CBP.” Wel zegt ze: “Zoals het nu voorligt zal een hypothetisch onderzoek van het CBP in ieder geval allerlei haken en ogen hebben”, doelend op de (on)mogelijkheden die nu wettelijk bepaald zijn.

Netflix vindt een loophole

“Het kan inderdaad zijn dat Netflix een loophole heeft gevonden”, reageert jurist Jeroen Schouten van eLaw Consultancy. Hij dacht in eerste instantie nog wel aan voldoende mogelijkheden voor een Nederlandse aanpak, maar na bestudering van alle voorwaarden en het privacybeleid van Netflix, erkent hij het gelijk van Dekker.

“Omdat de verantwoordelijke voor de gegevensverwerking Netflix Luxembourg SARL is en niet Netflix Inc, is artikel 4 lid 2 van de Wbp niet van toepassing. De gegevensverwerking moet dan worden beoordeeld naar het recht van Luxemburg. De Luxemburgse toezichthouder is dus competent.”