Kamerbrief: eerste ervaringen met de UAVG

Er leven veel vragen over de uitleg en toepassing van de AVG en Uitvoeringswet AVG (UAVG). Er is behoefte aan voorlichting en inzicht. Sander Dekker (minister voor Rechtsbescherming) schreef op 1 april een brief aan de tweede kamer, waarin hij toezegt de mogelijkheden te verkennen voor verdere modernisering en verbetering van het gegevensbeschermingsrecht. In lijn hiermee neemt de minister de motie Koopmans over waarin de regering werd verzocht om de ervaringen te inventariseren en zo mogelijk maatregelen te treffen.

In dit bericht lees je een verkorte weergave van de brief, waar de onderwerpen die (mogelijk) relevant zijn voor het bibliotheekwerk worden belicht. De volledige brief is hier te lezen.

De inventarisatie geeft op hoofdlijnen het volgende beeld:

Er leven veel vragen over de uitleg van de AVG en UAVG. Er is behoefte aan nadere voorlichting, vooral bij kleinere maatschappelijke organisaties zoals sportverenigingen. De AP en koepelorganisaties leveren op veel plaatsen al voorlichting.
Er bestaat zorg over de ruimte van gegevensverwerking. Er bestaat desondanks vaak ook meer ruimte dan wordt aangenomen.
Er zijn klachten over de toename van de administratieve lasten. Het vastleggen van toestemming was ook onder de Wbp al nodig, maar het registerplicht (“register van verwerkingen” of “verwerkingsregister”) is wel echt nieuw. Het kabinet zal in overleg met koepelorganisaties bezien wat de signalen hierover voor de evaluatie van de AVG, die uiterlijk op 25 mei 2020 is afgerond, kunnen betekenen.
Er is behoefte aan meer duidelijkheid of men in specifieke gevallen de (U)AVG goed naleeft. Organisaties binnen een sector kunnen gezamenlijk een gedragscode opstellen en die laten goedkeuren door de AP.
Er lijkt een punt te knellen rond de leeftijdsgrens van 16 jaar voor kinderen om in een online-omgeving rechtsgeldig toestemming te geven voor het gebruik van hun persoonsgegevens. Er bestaat discussie of deze grens lager zou moeten zijn. De Universiteit Leiden rond medio 2019 een onderzoek af dat behulpzaam kan zijn bij beantwoording van deze vraag.

Behoefte aan voorlichting en uitleg

Uit de inventarisatie blijkt dat een sterke behoefte bestaat en voorlopig blijft bestaan aan voorlichting en uitleg. Dit helpt om knelpunten op te lossen of misverstanden erover weg te nemen.

Het blijkt ook dat de komst van de AVG en UAVG voor veel aandacht voor bescherming van persoonsgegevens heeft gezorgd. Het betreft nieuwe wetgeving waarvan de invoering nu eenmaal tijd en energie kost en waaraan men nog moet wennen.

De AVG en UAVG worden resp. uiterlijk op 25 mei 2020 en 25 mei 2021 geëvalueerd. Rond de zomer informeert de minister de kamer over andere onderwerpen dan genoemd in de motie Koopmans die bij de minister onder de aandacht zijn gebracht.

Bijlage

In de bijlage van de brief wordt een aantal specifieke onderwerpen of knelpunten benoemd en zo mogelijk geadresseerd.

De verwerking van gezondheidsgegevens rond sportbeoefening
De verwerking van gezondheidsgegevens van werknemers in geval van ziekte
Door werkgevers is aandacht gevraagd voor ervaren knelpunten, m.n. over de re-integratie van zieke werknemers tot zes weken vanaf het moment van ziekmelding, en het bijhouden van lichamelijke beperkingen van werknemers door werkgevers zonder tussenkomst van een bedrijfsarts. Bij kamervragen hierover geeft de minister aan dat het uitgangspunt is dat werknemers de gezondheidsgegevens niet deelt met de werkgever, maar alleen met de bedrijfsarts. Het is immers aan de bedrijfsarts om een oordeel te vellen over de arbeids(on)geschiktheid van een medewerker, het is niet de taak van de werkgever en werknemer. De bedrijfsarts kan de werkgever en werknemer adviseren over de invulling van (terugkeer naar) werk. De werknemer is zelf mede verantwoordelijk voor zijn herstel en terugkeer naar werk vanuit goed werknemerschap. De AP en het Ministerie van SZW publiceerden hierover gezamenlijk deze uitleg beleidsregels ‘De zieke werknemer’.
Privacyaspecten rond het branchebreed aanleggen van zwarte lijsten van fraudeurs
Het toepassingsgebied van de verordening, m.n. gezien de uitzondering voor zuiver persoonlijke of huishoudelijke activiteiten
Ervaringen met de behandeling door de AP van individuele verzoeken en klachten
Dit voorjaar zal de Kamer een reactie worden toegezonden op de motie Verhoeven en Van Nispen waarin zal worden geïnformeerd over de capaciteit en middelen van de AP in relatie tot haar taken. Daarin wordt ook ingegaan op de eerste ervaringen van de AP met individuele verzoeken en klachten onder de AVG.
De leeftijdsgrens voor kinderen om in een online-omgeving rechtsgeldig toestemming te geven voor het gebruik van zijn/haar persoonsgegevens
Er wordt toegelicht dat, vanwege de beleidsneutrale implementatie van de AVG, de leeftijdsgrens van 16 jaar gehandhaafd wordt die ook onder de Wbp gold. In de motie Koopmans werd verzocht om de kamer te berichten over ervaringen en voornemens hieromtrent. Deze discussie heeft veel (ook principiële) aspecten en is nog niet afgerond.
De ruimte voor het gebruik van persoonsgegevens voor journalistieke doeleinden
Na een opsomming van relevante wetgeving en een overzicht van knelpunten die ervaren worden door de nieuwsbranche, wordt de volgende conclusie getrokken. Alles overwegende concludeert het kabinet dat met de AVG en UAVG sprake is van een goede en noodzakelijke balans tussen het belang van bescherming van persoonsgegevens enerzijds en de vrijheid van meningsuiting en informatie anderzijds. Verdere aanpassingen of afwijkingen zouden leiden tot een ongewenste disbalans tussen deze gelijkwaardige grondrechten.
De reikwijdte van de uitzondering voor kleine bedrijven voor het bijhouden van een register voor alle persoonsgegevens die zij verwerken
De verplichting voor het bijhouden van een register van verwerkingen geldt niet (artikel 30 lid 5 AVG) voor een organisatie met minder dan 250 werknemers, tenzij (1) de verwerking waarschijnlijk een risico inhoudt voor de rechten of vrijheden van de betrokkene, of (2) indien sprake is van een niet-incidentele verwerking, of (3) indien sprake is van verwerking van bijzondere categorieën persoonsgegevens of persoonsgegevens van strafrechtelijke aard.
Aangezien de meeste verwerkingen niet-incidenteel zijn, zullen in de praktijk weinig organisaties aanspraak kunnen maken op deze uitzondering. Omdat het een bepaling uit de AVG betreft bestaat geen ruimte om dit nationaal ruimer uit te leggen. Signalen worden wel meegenomen in de eerdergenoemde evaluatie.
De reikwijdte van de uitzonderingen op het verbod van geautomatiseerde besluitvorming
In artikel 22 AVG wordt het volgende bepaald: ‘De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft’.
In de brief worden de begrippen zoals ‘profilering’, ‘besluit’ en ‘hem in aanmerkelijke mate treft’ nader uitgelegd.
De mogelijkheid om een ex parte verbod van toepassing te verklaren op ernstige schendingen van de AVG
Een ex parte verbod is een verbod waarbij geen zitting plaatsvindt en waarbij de tegenpartij niet wordt gehoord. Een dergelijk verbod is alleen mogelijk bij grote spoedeisendheid en evidente inbreuk.
Twee ministers laten een haalbaarheidsstudie uitvoeren naar het creëren van een laagdrempelige voorziening voor een burger om de inhoud van een publicatie op internet te laten beoordelen op onrechtmatigheid, bijv. omdat deze geen toestemming (meer) geeft voor het online gebruik en verspreiding van beeldmateriaal waarmee deze persoon in verband kan worden gebracht. De beoordeling moet wel steeds plaatsvinden ten opzichte van het recht op vrijheid van meningsuiting.
De rol van het HvJ-EU en de toepasselijkheid van het Europese Handvest van de grondrechten ook op die terreinen waarop de AVG van overeenkomstige toepassing wordt verklaard in de UAVG

Meer informatie

Voor meer informatie over dit artikel of overige vragen, mail naar privacy@probiblio.nl.

Dit artikel is bedoeld voor Privacy Coördinatoren van openbare bibliotheken in Noord- en Zuid-Holland.

De informatie verstrekt door de Privacy Servicedesk is informatief bedoeld. Hoewel ze met zorg is samengesteld, kunnen fouten niet geheel worden uitgesloten. De informatie bevat geen juridisch advies. Probiblio aanvaardt derhalve geen enkele aansprakelijkheid voor handelen door jouzelf of door derden op basis van de informatie in dit bericht. Voorts zijn de Algemene Leveringsvoorwaarden van Probiblio van toepassing op de Privacy Servicedesk.