Wat de AVG ons gaat brengen

Vrijdag 20 januari verliep de termijn om te reageren op de conceptversie van de Uitvoeringswet van de Algemene verordening gegevensbescherming. Fijn dat de conceptversie er ligt. Dat geeft wat meer inzicht in hoe de Nederlandse wetgever een aantal open bepalingen uit de AVG inkleurt. Er staan weinig grote verrassingen in. In deze column zal ik een beknopte weergave geven. Uiteraard is het een conceptversie en zal deze nog worden voorgelegd aan allerlei instanties, waaronder de Autoriteit Persoonsgegevens.

Het belangrijkst dat met deze Uitvoeringswet (hoofdstuk 2) wordt geregeld is de oprichting van de Autoriteit Persoonsgegevens. De wettelijke basis voor de AP liggen nu in de Wbp. In de Uitvoeringswet wordt de Wbp straks ingetrokken, dus is voor de AP een nieuwe wettelijke basis nodig. De meeste taken en bevoegdheden vloeien echter rechtstreeks voort uit de Verordening. De maximaal op te leggen boeten gaat fors omhoog en de AP krijgt expliciet de bevoegdheid uit eigen beweging zaken openbaar te maken.

Interessanter vind ik echter hoofdstuk 3 van de Uitvoeringswet. Hierin wordt namelijk het een en ander geregeld ter uitvoering van de verordening: de ‘open eindjes’ worden ingevuld. Door de wetgever is gestreefd naar een beleidsneutrale uitvoering van de AVG ten opzichte van het geldende recht. Bestaande uitzonderingen zijn gehandhaafd, zoals, niet onbelangrijk voor de overheid, het BSN. Dit blijft in onze Nederlandse wet een bijzondere status hebben: het mag alleen worden gebruikt ter uitvoering van de wet waarbij het gebruik van het BSN is voorgeschreven. De wetgever heeft daarnaast in enkele gevallen ook bewust de keuze gemaakt om de ruimte die de betreffende bepaling uit de AVG biedt niet verder in te vullen. Bij de memorie van toelichting zit straks overigens een handige implementatietabel. Per artikel uit de AVG is in één oogopslag te zien op welke manier invulling is gegeven aan de beleidsvrijheid.

Op het gebied van de verwerking van bijzondere persoonsgegevens is de meeste inkleuring gegeven en dan met name als de verwerking van de bijzondere persoonsgegevens noodzakelijk is voor redenen van algemeen belang. Dit is echter beleidsneutraal ingevuld, zodat er weinig nieuws onder de zon is. De wetgever maakt dus geen hele schokkende nieuwe afwegingen in de Uitvoeringswet. Wat overigens voor bestuursorganen nog handig is om rekening mee te houden: ook na invoering van de AVG en de Uitvoeringswet zal een beslissing op een inzageverzoek (of de andere verzoeken die een betrokkene kan doen) een besluit zijn in de zin van de Awb. In de Uitvoeringswet is een schakelbepaling opgenomen die de Awb integraal van toepassing verklaart. De vier-weken-termijn (de termijn die nu nog geldt om te reageren op een inzageverzoek) staat niet in de AVG en ook niet in de Uitvoeringswet. Daarmee wordt de termijn op grond van de Awb acht weken. En die zal je ook wel nodig hebben om te reageren op een dergelijk inzageverzoek, want de hoeveelheid informatie die het bestuursorgaan aan een betrokkene moet verstrekken is in de AVG uitgebreid. In een volgende column zal ik meer aandacht besteden aan het inzageverzoek en waar je als organisatie precies aan moet voldoen. Conclusie voor nu is dat de Uitvoeringswet weinig verrassingen heeft. De AVG zelf doet meer stof opwaaien.

Wolfje Mijnders 

Lees hier meer columns van Wolfje Mijnders