Blog

De UAVG: een eerste lezing!

Deze week is het wetsvoorstel voor de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG) bij de Tweede Kamer ingediend. De UAVG heeft tot doel om uitvoering te geven aan de AVG. Hieronder zal worden ingegaan op de vraag waarom zo een uitvoeringswet is vereist. Ook zullen de meest opvallende punten uit de UAVG worden behandeld.

Waarom een uitvoeringswet?

De AVG is een Europese verordening die rechtstreekse werking heeft. Dat betekent, simpel gezegd, dat een beroep kan worden gedaan op de verordening zonder dat deze in nationaal recht hoeft te worden geïmplementeerd.

Toch is er een nationale wet vereist die uitvoering geeft aan deze verordening. In de uitvoeringswet is bijvoorbeeld bepaald wie de nationale toezichthouder op de AVG is (in Nederland: de Autoriteit Persoonsgegevens (AP)). Ook wordt invulling gegeven aan de ruimtes die de AVG biedt voor de invulling door nationaal recht. En ook niet geheel onbelangrijk: de Wet bescherming persoonsgegevens (Wbp) wordt door middel van de UAVG ingetrokken (artikel 51 UAVG).

Beleidsneutrale invulling

Nederland heeft gekozen voor een “beleidsneutrale invulling” van de AVG. Dit houdt in dat als op grond van de AVG ruimte is voor afwijking of aanvulling op nationaal niveau, dat deze ruimte zoveel mogelijk wordt ingevuld met het bestaande recht. Dus met de regels uit de Wbp.

Ruimere toepassing

In de AVG is bepaald dat deze niet van toepassing is op verwerkingen van persoonsgegevens die niet binnen de werkingssfeer van het Unierecht vallen (artikel 2 lid 2 sub a AVG).

De UAVG brengt hier verandering in door in artikel 3 te bepalen dat de AVG ook van toepassing is op verwerkingen die buiten de werkingssfeer van het Unierecht vallen. De AVG is in Nederland dus altijd van toepassing op de verwerking van persoonsgegevens.

Leeftijdsgrens

De AVG bepaalt dat verwerking van persoonsgegevens op basis van toestemming is toegestaan op voorwaarde dat de betrokkene minimaal 16 jaar is. Maar lidstaten hebben de mogelijkheid om deze leeftijdsgrens te verlagen tot 13 jaar (artikel 8 AVG).

Uit de UAVG volgt dat Nederland niet van deze mogelijkheid gebruik heeft gemaakt. De leeftijdsgrens voor de verwerking van persoonsgegevens op basis van toestemming is in Nederland dus 16 jaar. Voor de verwerking van persoonsgegevens (op basis van toestemming) van kinderen jonger dan 16 jaar is de toestemming vereist van de wettelijke vertegenwoordiger van het kind (artikel 5 UAVG).

Biometrische gegevens

Onder de AVG zijn biometrische gegevens bijzondere persoonsgegevens (artikel 9 AVG). Dat betekent dat verwerking daarvan in beginsel is verboden, tenzij aan strenge voorwaarden is voldaan.

De UAVG bevat ten aanzien hiervan een uitzondering. De verwerking van biometrische gegevens is toegestaan voor authenticatie en beveiligingsdoeleinden (artikel 29 UAVG).

Verwerking van BSN

De AVG bepaalt dat lidstaten de voorwaarden voor de verwerking van een nationaal identificatienummer kunnen vaststellen (artikel 87 AVG).

Op grond van de UAVG blijft de verwerking van het Burger Service Nummer (BSN) verboden, tenzij sprake is van uitvoering van een wet dan wel voor doeleinden bij een wet bepaald of een Algemene Maatregel van Bestuur (AMvB).

Geautomatiseerde besluitvorming

Artikel 22 AVG bepaalt dat betrokkene het recht heeft om niet te worden onderworpen aan uitsluitend geautomatiseerde besluitvorming.

De UAVG maakt hierop een uitzondering, namelijk wanneer de geautomatiseerde besluitvorming noodzakelijk is om een wettelijke verplichting na te leven of wanneer dit noodzakelijk is voor de vervulling van een taak van algemeen belang (artikel 40 UAVG).

Geheimhoudingsplicht FG

De Functionaris Gegevensbescherming (FG) die op grond van de AVG voor sommige ondernemingen verplicht zal zijn, heeft op grond van de AVG een geheimhoudingsplicht met betrekking tot de uitvoering van zijn taken (artikel 38 lid 5 AVG).

Artikel 39 UAVG geeft een verdere invulling aan deze geheimhoudingsplicht. Op grond van de UAVG is de FG verplicht tot geheimhouding van hetgeen hem op grond van een klacht of een verzoek van betrokkene is bekend geworden, tenzij de betrokkene toestemming voor bekendmaking geeft. Hoe ver deze geheimhoudingsplicht strekt, wordt niet duidelijk. Of de FG ook moet zwijgen tegenover de AP en de rechter wordt niet duidelijk uit de AVG en de UAVG.

Boete voor overheid

Artikel 18 UAVG bepaalt expliciet dat ook overheidsinstanties boetes opgelegd kunnen krijgen voor overtreding van de AVG. Hierover bestond nog enige onduidelijkheid, maar deze is nu dus expliciet weggenomen.

Tot slot

Tot zover de opvallendste punten uit het wetsvoorstel UAVG. Bovengenoemde punten zijn slechts het resultaat van een eerste lezing van de UAVG. Het is goed mogelijk dat er nog aanvullingen op deze blog zullen verschijnen.

De UAVG zal in werking treden op de datum dat ook de AVG zal worden toegepast, namelijk op 25 mei 2018.

Gerelateerde berichten