Het zal u niet zijn ontgaan dat op 25 mei 2018 de Algemene Verordening Gegevensbescherming (AVG) in werking treedt. Op 13 december 2017 heeft de regering de nieuwe versie van het wetsvoorstel voor de uitvoering van de AVG gepubliceerd. De Uitvoeringswet zal op hetzelfde tijdstip als de AVG in werking treden. Hiermee wordt invulling gegeven aan de ruimte die de AVG voor Nederlandse wetgeving laat.

De Wbp uit beeld?
De Wet bescherming persoonsgegevens (Wbp) wordt weliswaar vervangen door de AVG, maar de bepalingen uit het wetsvoorstel lijken veel op de huidige regels uit de Wbp. Bijvoorbeeld de rechtsgrondslagen voor de verwerking van persoonsgegevens komen materieel gezien vrijwel geheel overeen met artikel 8 van de Wbp. Ook is in de Uitvoeringswet geen gebruik gemaakt van de mogelijkheid om een (extra) uitzondering op te nemen op het verbod van verwerking van bijzondere persoonsgegevens. De bestaande mogelijkheden in de Wbp voor verwerking daarvan zijn zoveel mogelijk behouden.

Aanvulling AVG
Artikel 23 AVG laat een belangrijke ruimte over voor lidstaten om de rechten van betrokkenen te beperken. In de Uitvoeringswet is hier gebruik van gemaakt, door in artikel 41 te bepalen dat de verwerkingsverantwoordelijke zélf een belangenafweging kan maken over het afwijken van bepaalde rechten van betrokkenen, indien dit noodzakelijk is met de opgesomde algemene belangen. In de praktijk wordt dit toegepast door bijvoorbeeld geen gehoor te geven aan het verzoek van betrokkene om zijn gegevens te wissen, teneinde te voorkomen dat betrokkene hiermee sporen van crimineel gedrag wist. Ook kunnen in sectorspecifieke regelingen voorschriften worden opgenomen waarin de rechten van betrokkenen worden beperkt.

Een belangrijke aanvulling op de AVG is ten tweede dat de Uitvoeringswet afwijkt van de meldplicht datalekken. Artikel 42 van de Uitvoeringswet bepaalt dat de plicht tot het melden van een datalek aan de betrokkene niet van toepassing is op financiële ondernemingen zoals bedoeld in de Wet op het financieel toezicht.

BSN-nummer
De AVG geeft lidstaten de mogelijkheid om voorwaarden te stellen aan de verwerking van het BSN-nummer. Artikel 46 van de Uitvoeringswet regelt dat een BSN-nummer slechts mag worden gebruikt voor de toepassing van een wettelijke bepaling, overeenkomstig de doeleinden van die wet. Zo kunnen overheden naar Nederlands recht gebruik blijven maken van het BSN-nummer in het kader van de uitvoering van hun publieke taak.

Geautomatiseerde besluitvorming
Uitgangspunt in de AVG is dat er geen uitsluitend automatiseerde besluitvorming mag plaatsvinden, dus geen besluitvorming zonder menselijke tussenkomst. Dit is bijvoorbeeld het geval bij profiling. De Uitvoeringswet maakt een uitzondering op de hoofdregel en bepaalt dat geautomatiseerde individuele besluitvorming (niet zijnde profiling) mogelijk is. Het toekennen van kinderbijslag is bijvoorbeeld mogelijk zonder menselijke tussenkomst. Voorwaarde hierbij is dat de besluitvorming noodzakelijk is om te voldoen aan een wettelijke verplichting van de verwerkingsverantwoordelijke óf voor de vervulling van een taak van algemeen belang.

Toezicht
De Autoriteit Persoonsgegevens is bevoegd tot handhaving van de Uitvoeringswet en de AVG. De Autoriteit Persoonsgegevens kan onder andere een boete opleggen. De Uitvoeringswet biedt hierbij een opschortingsmogelijkheid, namelijk dat de werking van een besluit tot het opleggen van de bestuurlijke boete wordt opgeschort totdat op het (eventueel ingestelde) bezwaar of het beroep is beslist. Dit brengt met zich mee dat zolang er over een bestuurlijke boete wordt geprocedeerd deze niet kan worden geïnd.

Naast deze manier van handhaving bepaalt artikel 16 van de Uitvoeringswet tevens dat de Autoriteit Persoonsgegevens bevoegd is een last onder bestuursdwang op te leggen. Naar Nederlands recht brengt deze bevoegdheid met zich mee dat de Autoriteit Persoonsgegevens ook bevoegd blijft tot het opleggen van een dwangsom. De praktijk zal uitwijzen of de Autoriteit Persoonsgegevens voornamelijk dwangsommen zal opleggen, of boetes.

Vervolg
Dit wetsvoorstel moet nog door zowel de Tweede als de Eerste Kamer worden goedgekeurd. Het zal afhangen van de snelheid van de besluitvorming of de Uitvoeringswet wel op 25 mei 2018 in werking kan treden, tegelijk met de AVG. Dat zou de rechtszekerheid wel ten goede komen.

Meer informatie
Indien u vragen heeft over de gevolgen van de Uitvoeringswet voor uw organisatie, kunt u contact opnemen met het team Privacy. Zij zijn u graag van dienst.

December 2017