Welke nationale regels zijn nodig voor de uitvoering van de AVG? Dat staat in de Uitvoeringswet AVG (UAVG) die is aangeboden aan de Tweede Kamer, een mijlpaal in de ontwikkeling van het privacyrecht. In dit artikel staat beschreven welke onderwerpen uit de UAVG voor gemeenten van belang zijn.
De Algemene verordening gegevensbescherming (AVG) zal op 25 mei 2018 de Wet bescherming persoonsgegevens vervangen en biedt het kader voor het werken met persoonsgegevens in heel Europa. De AVG heeft rechtstreekse werking. De Uitvoeringswet AVG (UAVG) voorziet in nationale regels die nodig zijn voor de uitvoering van de AVG en zal dus ook op 25 mei 2018 in werking treden.
Beleidsneutraal
In de UAVG wordt de AVG beleidsneutraal ingevoerd. De bestaande regels van de Wet bescherming persoonsgegevens (Wbp) zijn zoveel mogelijk overgenomen, daar waar de AVG ruimte laat voor nationale keuzes. De materiele normen voor de verwerking van persoonsgegevens zijn in grote lijnen gelijk gebleven aan die uit de Wbp (onder het regime van de AVG en de UAVG). Alle veranderingen in rechten en verplichtingen vloeien dus direct voort uit de verordening.
Belangrijke punten gemeenten
De Tweede en Eerste kamer moeten nog akkoord gaan met het wetsvoorstel. De inhoud ervan kan nog wijzigen. Desondanks kunnen een aantal belangrijke onderwerpen uit de Ontwerp-Uitvoeringswet AVG worden genoemd die alvast goed zijn voor gemeenten om te weten:
Toestemming van wettelijk vertegenwoordiger
De leeftijdsgrens van 16 jaar voor de verwerking van persoonsgegevens van kinderen op basis van toestemming is niet verlaagd naar 13 jaar (artikel 5 UAVG), wat op grond van de AVG mogelijk was (artikel 8, eerste lid, AVG).
De AP mag behalve een boete ook een last onder bestuursdwang opleggen (artikel 16 UAVG)
Dat betekent dat de AP een einde mag maken aan de overtreding (bestuursdwang) of een last onder dwangsom mag opleggen om een gemeente te dwingen de overtreding te beëindigen.
Ook overheden kunnen boetes krijgen
Er heerst bij enkele overheden het misverstand dat overheidsinstanties geen boete kunnen krijgen voor overtreding van de AVG. Artikel 18 UAVG is daar duidelijk over: ook overheidsinstanties kunnen boetes krijgen van maximaal 10 respectievelijk 20 miljoen euro.
Verwerkingsverbod bijzondere categorieën persoonsgegevens en algemene uitzonderingen (artikel 9 AVG en 22 UAVG)
De UAVG bevat een verwerkingsverbod voor dezelfde bijzondere categorieën persoonsgegevens als onder de Wbp (ras/etniciteit, geloof, gezondheid, politieke opvattingen, vakbondsmaatschap, seksueel leven, etc), met uitzondering van persoonsgegevens van strafrechtelijke aard. Deze worden niet als bijzondere persoonsgegevens beschouwd maar is artikel 10 van de AVG van toepassing. In de artikelen 31 tot en met 33 UAVG is hiervoor een regeling getroffen.
Biometrische gegevens
De UAVG bevat een specifieke regeling voor de verwerking van biometrische gegevens (onder de AVG is dit een bijzonder persoonsgegeven). De verwerking van biometrische gegevens is toegestaan voor authenticatie en beveiligingsdoeleinden.
Besluit in de zin van de AWB
Een besluit op een verzoek van een burger om inzage, correctie, verwijdering, etc. is een besluit in de zin van de Algemene Wet Bestuursrecht (artikel 34 UAVG). Dat betekent dat tegen zo’n besluit gedurende een termijn van zes weken bezwaar en beroep open staat.
Opschortende werking bezwaar en beroep
In artikel 38 UAVG staat dat de werking van een besluit tot het opleggen van een boete wordt opgeschort totdat op het beroep is beslist. Dit zal in de praktijk een extra prikkel zijn om een besluit aan te vechten. Zolang het besluit niet definitief is hoeft de boete immers niet te worden betaald.
BSN
De verwerking van het Burger Service Nummer (BSN) blijft verboden, tenzij er sprake is van een grondslag op grond van de wet of een Algemene Maatregel van Bestuur (AMvB) (artikel 46 UAVG).
Advies Raad van State
Tot slot nog een opmerking afkomstig uit het advies van de Raad van State.
De Raad adviseert om de toelichting over de uitvoering van de UAVG te verbeteren. De gevolgen van de AVG voor burgers, bedrijven en overheden zullen aanzienlijk zijn, zo stelt de Raad. De bekendheid met de naderende veranderingen lijkt nog te wensen over te laten. Ook gezien de structurele problemen in de uitvoeringspraktijk onder de bestaande wetgeving (Wbp), zal de komende periode een forse inspanning nodig zijn om de AVG en de daarmee samenhangende wetgeving op een voldoende niveau uitgevoerd te krijgen. In de toelichting moet volgens de Raad de urgentie van die forse inspanning duidelijker worden aangegeven.
