De Count down tot 25 mei: Nog veel onzekerheid over reikwijdte nationale wetten

Wij komen steeds dichterbij de prachtige datum van 25 mei. Er wordt dus steeds sneller gewerkt om tijdig de voorbereidingen af te ronden. Zo slaat bijvoorbeeld de Tweede Kamer bij de Uitvoeringswet AVG de gebruikelijke stap van de behandeling van het wetsvoorstel in een Vaste Kamercommissie over, ondanks de vele vragen die eerder waren gerezen. Hoogste belang is dat er snel een wet in het Staatsblad staat.

Eén thema wil ik er uitlichten: de territoriale reikwijdte van de nationale uitvoeringswetten. Deze wetten vullen de AVG aan. Dit staat de AVG op een aantal specifieke terreinen toe. Voorbeelden zijn de verwerking van gegevens in de arbeidsverhouding en de verwerking van bijzondere persoonsgegevens.

Wanneer geldt de UAVG eigenlijk?

De Uitvoeringswet AVG moet gelden als de verantwoordelijke (of de verwerker) in Nederland gevestigd is, zo luidt de hoofdregel van artikel 4 van het wetsvoorstel. De wet geldt tevens voor de verwerking van persoonsgegevens voor mensen die zich in Nederland bevinden, voor zover die verwerking plaatsvindt door niet in de EU gevestigde bedrijven.

De Uitvoeringswet zal echter niet gelden voor de verwerking van onze persoonsgegevens door bedrijven die elders in de Unie een vestiging hebben. Dat is belangrijk, omdat veel internationaal opererende bedrijven een Europese hoofdvestiging in de EU hebben. Die is lang niet altijd in Nederland.

Ik noem een voorbeeld: volgens de Nederlandse wetgeving zullen internetbedrijven die gegevens verwerken van kinderen jonger dan 16 jaar daarvoor de toestemming van de ouders moeten verkrijgen. In andere lidstaten kan die leeftijd lager liggen, waarbij de verordening 13 jaar als minimum stelt. Gesteld dat een internetbedrijf vanuit een andere lidstaat – Ierland zou een willekeurig voorbeeld kunnen zijn – diensten aanbiedt aan kinderen die ten minste 13 jaar oud zijn, maar nog geen 16, dan geldt de Nederlandse eis van ouderlijke toestemming dus niet.

De Nederlandse wet komt voort uit de gedachte dat als een dienst in een lidstaat (de lidstaat van vestiging van de verantwoordelijke) legaal op de markt is, deze dienst ook in andere lidstaten moet worden geaccepteerd. Indien een lidstaat 13 jaar voldoende oud acht om een internetdienst te gebruiken zonder ouderlijke toestemming, dan mag Nederland die dienst hier niet tegenhouden. Dit is de logica van de interne markt.

Wat doen andere landen?

Iedere lidstaat doet wat anders. Duitsland en het VK bijvoorbeeld hanteren hetzelfde uitgangspunt als Nederland, maar stellen vervolgens enkele extra eisen. Frankrijk daarentegen hanteert een geheel andere logica. De Franse uitvoeringswet is van toepassing in iedere situatie waarin een internetdienst effect heeft op Franse ingezetenen. Dit is de logica van de bescherming van de grondrechtenbescherming. De extra nationale regels worden gesteld, omdat een lidstaat het nodig vindt zijn ingezetenen aanvullende bescherming te bieden.

Het verschil in nationale aanpak kan leiden tot een onoverzichtelijke situatie, met al dan niet overlappende regels. Je zou je bijvoorbeeld kunnen voorstellen dat een aanbieder die vanuit Nederland de Franse consumentenmarkt bedient zowel aan de Nederlandse als aan de Franse uitvoeringswet moet voldoen. De Franse onderneming die aan de Nederlandse consument internetdiensten aanbiedt, heeft daarentegen noch met de Franse, noch met de Nederlandse uitvoeringswet te maken.

Hoe nu verder?

Het lijkt zaak dat duidelijkheid wordt geboden over de uiteenlopende reikwijdte van nationale uitvoeringswetten. De Europese Commissie en de nieuwe European Data Protection Board lijken de aangewezen instanties om zich over deze aangelegenheid te buigen en een opvatting te formuleren. We naderen immers 25 mei.

Wel zeg ik erbij dat het één en ander een effectieve toepassing van de verordening niet per se in de weg hoeft te staan. Bovendien staat de (al dan niet) toepasselijkheid van een nationale uitvoeringswet los van de bevoegdheidsverdeling tussen de nationale autoriteiten, die wel in de AVG zelf is geregeld.