In december 2017 hebben wij u reeds geïnformeerd over het wetsvoorstel voor de uitvoering van de Algemene Verordening Gegevensbescherming, de “Uitvoeringswet”. Op 13 maart 2018 is de Uitvoeringswet AVG aangenomen door de Tweede Kamer. De tekst is gewijzigd ten opzichte van de vorige tekst. Op dit moment ligt de Uitvoeringswet AVG voor bij de Eerste Kamer, die het voorstel nog moet aannemen voordat het in werking kan treden. Interessant is vooral het pleidooi om rekening te houden met kleine en middelgrote ondernemingen.
In dit artikel zetten wij de belangrijkste wijzigingen uiteen.
Rekening houden met kleine en middelgrote ondernemingen
Noemenswaardig is het amendement waarbij is verzocht rekening te houden met kleine, middelgrote en micro ondernemingen. Dit amendement is inmiddels aangenomen. Als gevolg hiervan dient de Autoriteit Persoonsgegevens (AP) bij de uitvoering van haar taken rekening te houden met de omvang van bedrijven en organisaties. Bedrijven met minder dan 250 werknemers, een maximum jaaromzet van 50 miljoen euro óf een balanstotaal van 43 miljoen euro worden aangemerkt als kleine en middelgrote ondernemingen. Onder deze grenzen dient de AP bij handhaving er rekening mee te houden dat het gaat om een kleine of middelgrote onderneming.
Uitzondering voor journalistiek?
Journalisten hebben er vanwege hun maatschappelijke functie belang bij om persoonsgegevens te verwerken in nieuwsberichten. De vrijheid van meningsuiting en het recht op informatie botst echter met de bescherming van persoonsgegevens.
De AVG geeft lidstaten de ruimte om in nationale wetgeving uitzonderingen te formuleren voor de verwerking van persoonsgegevens door journalisten. Zo mogen (onder andere) uitzonderingen worden gemaakt op de beginselen waar organisaties aan dienen te voldoen bij de verwerking van persoonsgegevens. Hieronder valt bijvoorbeeld de verplichting om persoonsgegevens te verzamelen conform een gerechtvaardigd doel, en de persoonsgegevens niet anders te verwerken dan conform dat doel. Tevens mogen uitzonderingen worden geformuleerd op de rechten van betrokkene(n).
In de Uitvoeringswet is echter gekozen voor een “beleidsneutrale” implementatie. Hiermee wordt bedoeld dat geen éxtra uitzonderingen worden opgenomen, dan momenteel het geval is in de Wet bescherming persoonsgegevens. Hier is veel kritiek op, omdat de AVG wel deze ruimte biedt.
Op 8 maart is daarom een amendement ingediend, met het voorstel om de beginselen inzake verwerking van persoonsgegevens niet van toepassing te verklaren op verwerking van persoonsgegevens in de journalistiek. Journalisten zouden als gevolg daarvan geen grondslag en doel nodig voor de verwerking van persoonsgegevens. Ook zou de verwerking van persoonsgegevens niet langer noodzakelijk hoeven zijn. Het amendement is echter niet aangenomen.
Rol van de AP
Daarnaast wordt de rol van de AP in de Uitvoeringswet duidelijker weergegeven. Zo bepaalt artikel 6 dat de AP niet alleen toeziet op de naleving van de AVG, maar ook op de naleving van de Uitvoeringswet en andere privacyregelgeving inzake de verwerking van persoonsgegevens. De bevoegdheden die de AP zijn toebedeeld blijven ongewijzigd, wat betekent dat de AP onder andere bevoegd blijft tot het opleggen van hoge boetes. De AP heeft niet de bevoegdheid om nadere regels te stellen omtrent de verwerking van persoonsgegevens. Die bevoegdheid blijft rusten bij de minister.
Medewerkingsverplichting
Organisaties die persoonsgegevens verwerken zijn daarnaast verplicht om medewerking te verlenen aan de AP bij de uitoefening van diens taak. Omdat de AP een toezichthouder in de zin van de Algemene wet bestuursrecht is, bepaalt de Uitvoeringswet dat schending van de medewerkingsverplichting kan leiden tot oplegging van een last onder bestuursdwang. Dit betekent dat de AP eigenhandig illegale situaties kan herstellen, en de kosten op de organisatie kan verhalen.
Vervolg?
De regering heeft per brief verzocht om een voortvarende behandeling van de Uitvoeringswet. Het is immers de bedoeling dat de Uitvoeringswet (tegelijk met de AVG) op 25 mei 2018 in werking treedt. Of deze deadline ook zal worden gehaald, moet nog blijken. De eerste kamer zal nog moeten instemmen met het voorstel. In de tussentijd houden wij u op de hoogte van de stand van zaken.
Meer informatie
Indien u vragen heeft over de gevolgen van de Uitvoeringswet voor uw organisatie, kunt u contact opnemen met het team Privacy. Wij zijn u graag van dienst.
