De Rijksoverheid heeft op 13 december de Uitvoeringswet van de Algemene Verordening Gegevensbescherming bij de Tweede Kamer ingediend. Na een publieke consultatie eind vorig jaar / begin dit jaar en het inwinnen van adviezen van de Autoriteit Persoonsgegevens (AP) en de Raad van State (RvS), is de UAVG aangepast en bij het parlement ingediend.
In dit korte statement worden de belangrijkste aanpassing en toevoegingen van de UAVG ten opzichte van de AVG besproken. Lidstaten hebben namelijk op bepaalde punten ruimte gekregen om (meer specifieke) nationale wetgeving aan te nemen en de UAVG regelt dit. Daarnaast wordt de AP middels de UAVG opgericht.
Gelet op de directe werking van een Verordening, heeft de Europese wetgever besloten om in de AVG geen bepalingen op te nemen over het toepasselijke recht. De lidstaten moeten echter wel zelf nog aanvullende wetgeving opstellen om bepaalde zaken te regelen. Dit leidt ertoe dat iedere lidstaat voor zich bepaalt wanneer hun UAVG van toepassing is.
De Nederlandse wetgever heeft in de UAVG bepaalt dat deze van toepassing is op organisaties die een vestiging hebben in Nederland en op organisaties die geen vestiging in de Europese Unie hebben, maar hier wel diensten en goederen aanbieden. Het gevolg hiervan is dat er mogelijk toch verschillende UAVG’s van toepassing zijn op dezelfde verwerking door een organisatie. Dit terwijl het voorkomen van een lappendeken een van de belangrijkste speerpunten van de AVG was.
Naast de uitzonderingen op het algemene verbod om bijzondere persoonsgegevens te verwerken in de AVG, biedt het wel de mogelijkheid om in het kader van het algemeen belang nadere wetgeving te kunnen aannemen. De Nederlandse wetgever maakt hier ruim gebruik van in artikelen 22 – 30 UAVG. In de praktijk betekent dit dat de huidige uitzonderingen in de Wet bescherming persoonsgegevens (Wbp) grotendeels ongewijzigd blijven. Ook voor strafrechtelijke gegevens heeft de Nederlandse wetgever de huidige uitzonderingen gehandhaafd in de UAVG.
Volgens artikel 5 UAVG is in plaats van toestemming van de betrokkene toestemming van zijn wettelijk vertegenwoordiger vereist indien de betrokkene de leeftijd van zestien jaren nog niet heeft bereikt. In Artikel 8 AVG wordt ook ruimte gegeven de leeftijd te verlagen tot dertien jaar, maar hier is in Nederland geen gebruik van gemaakt. Daarnaast spreekt de AVG in dit kader alleen van een ‘rechtstreeks aanbod van diensten van de informatiemaatschappij’ aan kinderen. In de UAVG geldt de toestemmingsplicht echter in zijn algemeenheid, zoals nu ook onder de Wbp.
Voor het overgrote deel worden de bevoegdheden van de AP direct toebedeeld in de AVG. De AVG biedt echter de mogelijkheid voor de lidstaten om aanvullende bevoegdheden toe te bedelen, mits dit de samenwerking tussen de toezichthouders niet belemmerd. Door de Nederlandse wetgever is hier gebruik van gemaakt door te voorzien in een bepaling (artikel 15 lid 5 UAVG) dat de AP ook de bevoegdheden van een toezichthouder in de zin van de Awb mag uitoefenen voor zover dit noodzakelijk is voor de uitvoering van hoofdstuk VII van de AVG.
Wilt u meer informatie of advies over wat dit betekent voor uw organisatie? Neem dan contact met ons op.