Op 25 mei 2018 vervangt de Europese Algemene Verordening Gegevensbescherming (AVG) de huidige Wet bescherming persoonsgegevens (Wbp). De AVG heeft dan rechtstreekse werking in alle lidstaten van de Europese Unie. Hierdoor ontstaat een gelijk niveau van bescherming van persoonsgegevens in de lidstaten. Er is echter een aantal onderwerpen dat op nationaal niveau geregeld moet worden. In Nederland gebeurt dat in de Uitvoeringswet AVG. Deze wet is op 13 maart 2018 door de Tweede Kamer aangenomen en ligt nu ter beoordeling bij de Eerste Kamer. In deze publicatie wordt een overzicht gegeven van de onderwerpen die in deze Uitvoeringswet worden geregeld.
De Autoriteit Persoonsgegevens
De AVG schrijft voor dat iedere lidstaat een onafhankelijke toezichthoudende autoriteit dient te hebben die verantwoordelijk is voor de controle op een consequente toepassing van de AVG. Deze autoriteit heeft een informatieve, toezichthoudende en handhavende rol. In de Uitvoeringswet AVG wordt de Autoriteit Persoonsgegevens als toezichthouder aangewezen. De Uitvoeringswet AVG bevat voorts bepalingen over de oprichting en inrichting van de Autoriteit Persoonsgegevens. De Autoriteit Persoonsgegevens behandelt klachten over de verwerking van persoonsgegevens en aan de Autoriteit Persoonsgegevens wordt de bevoegdheid toegekend de handhavingsmaatregelen die de AVG kent, uit te oefenen. Het gaat om maatregelen als het waarschuwen, berispen of beboeten van organisaties die de privacyregels overtreden of om een verbod persoonsgegevens te verwerken.
De Uitvoeringswet bepaalt verder dat de Autoriteit om advies moet worden gevraagd over voorstellen van wet en algemene maatregelen van bestuur die betrekking hebben op de verwerking van persoonsgegevens. De Autoriteit Persoonsgegevens is daarnaast bevoegd op eigen initiatief beleidsregels en adviezen uit te brengen en samenwerkingsprotocollen met toezichthouders uit andere landen te sluiten.
Bijzondere persoonsgegevens en Uitvoeringswet AVG
Bijzondere persoonsgegevens zijn gegevens die zo gevoelig zijn, dat deze niet mogen worden verzameld, tenzij daarvoor een expliciete uitzondering is opgenomen. Het gaat bijvoorbeeld om gegevens waaruit iemands etnische afkomst, politieke voorkeur, religieuze levensbeschouwing of seksuele geaardheid is af te leiden of om gegevens over iemands gezondheid. In de AVG staan de expliciete uitzonderingen op grond waarvan dergelijke gegevens wel mogen worden verwerkt. In de Uitvoeringswet AVG worden deze uitzonderingen verder uitgewerkt. Zo is bepaald dat het geboorteland van een persoon wel mag worden verwerkt als dat noodzakelijk is om een etnische of culturele minderheidsgroep een bevoorrechte positie toe te kennen (positieve discriminatie) en de betrokkene daartegen geen bezwaar heeft gemaakt. Gezondheidsgegevens mogen worden verwerkt door hulpverleners of instellingen voor gezondheidszorg, maar bijvoorbeeld ook door verzekeraars met het oog op risico-inschatting, of door scholen voor zover noodzakelijk voor de speciale begeleiding van leerlingen.
Uitvoeringswet AVG: rechtsbescherming
Iedere lidstaat heeft zijn eigen regels voor rechtsbescherming. Voor het bestuursrecht is dat in Nederland de Algemene wet bestuursrecht. In de Uitvoeringswet AVG is bepaald dat de handhavingsmaatregelen die de Autoriteit Persoonsgegevens oplegt, besluiten zijn in de zin van de Algemene wet bestuursrecht. Tegen het opleggen van een maatregel door de Autoriteit kan dus bezwaar en beroep worden ingesteld als bedoeld in hoofdstuk 6 en 7 van de Algemene wet bestuursrecht. Tegen een waarschuwing van de Autoriteit kan geen bezwaar en beroep worden ingesteld.
Uitzonderingen op de rechten van betrokkenen
De Uitvoeringswet AVG kent enkele uitzonderingen op de rechten die betrokkenen hebben op grond van de AVG. Zo kan een verzoek om inzage in de persoonsgegevens die bekend zijn bij een organisatie worden geweigerd als dat een onderzoek naar strafbare feiten kan belemmeren. Bijvoorbeeld als de Belastingdienst een onderzoek naar het opsporen van belastingfraude door een persoon of onderneming verricht.
Kortom
De AVG heeft rechtstreekse werking in de lidstaten van de Europese Unie en behoeft geen omzetting naar nationaal recht. Er zijn echter onderwerpen die nog wel op nationaal niveau kunnen of moeten worden geregeld. De Uitvoeringswet AVG bevat daarvoor bepalingen. Deze wet dient uiterlijk op 25 mei 2018 in werking te treden, tegelijk met de AVG.
Als uw organisatie persoonsgegevens verwerkt, betrekt u bij de beoordeling van het juridisch kader daarom tevens de bepalingen uit de Uitvoeringswet AVG.
Contact en cursussen
Heeft u vragen of wilt u ondersteuning bij de implementatie (zoals het maken van een register), bel dan met een van onze specialisten via telefoonnummer 079 - 363 1919.
Wilt u meer weten over dit onderwerp?
Volg onze cursus AVG: de Algemene verordening gegevensbescherming in de praktijk.
Speciaal voor de personeelspraktijk is onze cursus Privacyrecht binnen de personeelspraktijk.