De inwerkingtreding van de AVG: Een dreigend rechtsvacuüm

Na de inwerkingtreding van de Algemene Verordening Gegevensbescherming zal de Wet bescherming persoonsgegevens komen te vervallen. Hierdoor ontstaat er mogelijk het probleem dat op ‘zuivere interne situaties’ opeens geen privacyrecht meer van toepassing is. De wetgever erkent het dreigende rechtsvacuüm en dient hierop adequaat te handelen. Door het nationale toepassingsgebied van de AVG op eenvoudige wijze te verruimen, zal hij een mogelijk langdurige rechtsstrijd weten te voorkomen.

Inleiding

Op 25 mei 2018 zal binnen de gehele Europese Unie de Algemene Verordening Gegevensbescherming (hierna: AVG)1 inwerking treden. Bekend is dat een Unierechtelijke verordening rechtstreeks toepasselijk is in lidstaten, waardoor omzetting van de bepalingen naar nationaal recht, indien deze bepalingen voldoende duidelijk en specifiek zijn, niet nodig is. Omzetting in nationale wet- en regelgeving is bij deze bepalingen volgens vaste jurisprudentie van het Europese Hof van Justitie zelfs verboden.2 ­Hiermee wordt voorkomen dat er verwarring over de juridische werking van de verordening ontstaat. Er mag hiermee dus in beginsel naast de AVG geen nationaal recht inzake privacy bij gegevensverwerking in Nederland bestaan. Relevant bij dit verbod is het materiële toepassingsgebied van de AVG. Immers, als een gegevensverwerking niet onder de reikwijdte van de AVG valt, kan er geen sprake zijn van een verbod tot het opstellen van nationaal privacyrecht. Er ontstaat mogelijk een zekere speelruimte voor de nationale wetgever waarin hij wet- en regelgeving kan, en wellicht zelfs moet opstellen. Helaas zit de Nederlandse wetgever momenteel liever stil.

De zuivere interne situatie

Om te bepalen waar er ruimte voor nationale wetgeving bestaat, dient er zoals gezegd gekeken te worden naar het toepassingsgebied van de AVG. Het materiële toepassingsgebied van de AVG is geregeld in artikel 2 van de verordening. Artikel 2 lid 2 onderdeel a AVG bepaalt dat de ­verordening niet van toepassing is op verwerking van persoonsgegevens in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen. Deze bepaling is terug te voeren op artikel 16 van het Verdrag betreffende de werking van de Europese Unie, dat eenieder het recht op bescherming van zijn persoonsgegevens biedt bij de uitoefening van activiteiten die binnen het toepassingsbereik van het recht van de Unie vallen. Er dient sprake te zijn van een aanknopingspunt met EU-recht, een grensoverschrijdend aspect.

De ‘zuivere interne situatie’, een verwerking zonder enig (potentieel) grensoverschrijdend aspect, valt daarmee in beginsel buiten het kader van activiteiten van de werkingssfeer van het Unierecht en het toepassingsgebied van de AVG. Hierbij kan gedacht worden aan lokale sport- of gezelligheidsverenigingen in het midden van ons land, waarbij het zeer onwaarschijnlijk is dat persoonsgegevens van leden ooit in het buitenland terecht komen of mensen buiten Nederland lid worden van deze verenigingen. Nu lijkt er iets bijzonders aanstaande. Momenteel vallen deze ‘zuiver interne situaties’ onder het regime van de Nederlandse Wet bescherming persoonsgegevens (hierna: Wbp), omdat gegevensverwerkingen voor toepassing van nationaal recht geen grensoverschrijdend aspect behoeven te hebben. Geconcludeerd moet worden dat de ‘zuivere interne situatie’ volgens een theoretische beschouwing van artikel 2 lid 2 onderdeel a AVG niet onder het toepassingsgebied van de AVG zal vallen. Na de inwerkingtreding van de AVG zal de Wbp komen te vervallen. Hierdoor ontstaat er mogelijk het probleem dat er op ‘zuivere interne situaties’, na het vervallen van de Wbp, opeens geen privacyrecht meer van toepassing is. De eerder genoemde verenigingen zullen dan tot 25 mei 2018 bij de verwerking van e-mailadressen, betaalgegevens, telefoonnummers en thuisadressen van hun leden rekening moeten houden met allerlei waarborgen omtrent privacy, terwijl dit na 25 mei 2018 niet meer hoeft. Er ontstaat een rechtsvacuüm.

Österreichischer Rundfunk

De huidige Privacyrichtlijn, Richtlijn 95/46/EC, is geïmplementeerd in de Wbp en kent een vergelijkbare uitzondering betreffende het toepassingsgebied in ‘zuiver interne situaties’, namelijk dat verwerkingen van persoonsgegevens binnen de werkingssfeer van Gemeenschapsrecht vallende activiteiten geschieden. Deze eis van een grensoverschrijdend aspect voor de toepasbaarheid van de Privacyrichtlijn is echter door het Hof van Justitie afgezwakt. In Rechnunghof/Österreichischer Rundfunk3 bepaalt het Hof dat persoonsgegevens eenvoudig in meerdere landen van de EU terecht kunnen komen, waardoor er altijd sprake is van een grensoverschrijdend aspect. Het Hof stelt hiermee dat er eigenlijk nauwelijks sprake kan zijn van een ‘zuiver interne situatie’. Onduidelijk is echter hoe deze jurisprudentie zich verhoudt tot de AVG.

De nationale wetgever aan zet

De Nederlandse wetgever heeft deze problematiek eveneens gesignaleerd. In par. 2.2 van de memorie van toelichting bij de voorlopige Uitvoeringswet Algemene Verordening Gegevensbescherming4 (hierna: Uitvoeringswet AVG) benoemt de wetgever dat de lezing van artikel 2 lid 2 onderdeel a AVG een ruime uitleg van de uitzondering in toepassingsgebied impliceert. Deze ruime uitleg zou er toe leiden dat de grenzen van de werkingssfeer van de AVG onzeker en vaag worden. Dit doet afbreuk aan de harmoniserende doelstelling van de verordening en maakt deze onuitvoerbaar, aldus de memorie van toelichting. Tot zover een juiste constatering. De wetgever concludeert vervolgens dat het daarom in de rede ligt om de genoemde uitzondering beperkt uit te leggen. Hij volgt hierin uitdrukkelijk de Rundfunk-jurisprudentie van het Hof van Justitie over het toepassingsgebied van de Privacyrichtlijn. Hierdoor zouden uitsluitend gegevensverwerkingen op terreinen die in hun geheel zijn uitgezonderd van de werking van Europees recht, zoals verwerkingen in het kader van nationale veiligheid, onder de genoemde uitzondering vallen. De Nederlandse wetgever verklaart de AVG in de memorie van toelichting in feite van toepassing op nagenoeg alle gegevensverwerkingen en degradeert daarmee artikel 2 lid 2 onderdeel a AVG tot een dode letter. Ondanks jarenlang politiek en wetgevend overleg op Europees niveau, legt hij de tekst van de verordening met deze redenering volledig naast zich neer.

Hoewel deze beperkte uitleg zoals gezegd weliswaar in lijn is met de jurisprudentie van het Hof, is het een significant verschil dat de Privacyrichtlijn nu juist wél is omgezet naar nationaal recht. Doordat de Wbp reeds van toepassing is op de ‘zuiver interne situatie’, is het eveneens van toepassing verklaren van de Privacyrichtlijn op deze gevallen van gegevensverwerking een minder ingrijpende beslissing. De Nederlandse wetgever stelt in zijn eerder aangehaalde memorie van toelichting dat het nimmer de bedoeling kan zijn geweest om bij het vaststellen van het toepassingsgebied van de AVG af te wijken van de op de Privacyrichtlijn betrekking hebbende vaste jurisprudentie. Het moet echter nog maar blijken of het één-op-één overnemen van jurisprudentie op een ander soort type Europese regelgeving zal standhouden voor een rechter. Onzeker is waar een rechter zijn voorkeur aan zal geven; de memorie van toelichting bij een uitvoeringswet of de lang bediscussieerde tekst van een Europese bepaling in combinatie met het feit dat de tekst van de Uitvoeringswet AVG zelf de AVG niet van toepassing verklaart op zuiver interne situaties?

Artikel 1

De Nederlandse wetgever stevent nu af op een onnodige discussie, door het vanzelfsprekend te vinden dat de Rundfunk-jurisprudentie eveneens van toepassing is op ‘zuiver interne situaties’ onder het AVG-regime. Deze verwijzing lijkt niet zo maar afdoende, temeer wegens het zwaarder wegende gewicht dat aan Europese bepalingen ten opzichte van een nationale toelichting moet worden toegekend. Dit, terwijl de wetgever de bevoegdheid hééft om dit mogelijke rechtsvacuüm te voorkomen. Hij mag de AVG namelijk ook zelfstandig van toepassing verklaren op verwerkingen die normaliter buiten het toepassingsgebied van de verordening vallen. Daarnaast valt deze wetgeving niet onder het besproken verbod tot het opstellen van nationaal privacyrecht bij een verordening, aangezien dit verbod ziet op het overnemen van bepalingen uit de verordening zelf in nationaal recht en niet op de uitvoering ervan. Door een artikel aan de Uitvoeringswet AVG, artikel 1, toe te voegen, luidend:
‘De verordening en deze wet zijn van overeenkomstige toepassing op verwerking van persoonsgegevens binnen zuivere interne situaties.’
zal deze discussie omtrent het toepassingsgebied van de AVG voorkomen worden. Let hierbij op artikel 4 lid 1 Uitvoeringswet AVG, waarin de Nederlandse wetgever het toepassingsgebied van de AVG reeds verruimt door de verordening overeenkomstig van toepassing te verklaren bij verwerkingen van persoonsgegevens door de krijgsmacht. Dit voorstel tot het aanpassen van het wetsvoorstel en het expliciet van toepassing verklaren van de AVG op ‘zuiver interne situaties’ komt overeen met het advies van de Raad van State dat hij gaf naar aanleiding van de Uitvoeringswet AVG.5

Tot slot

De wetgever geeft aan te vrezen dat de werkingssfeer van de AVG onzeker en vaag zal worden indien aan artikel 2 lid 2 onderdeel a AVG een ruime uitleg op de uitzondering van het toepassingsgebied zal worden toegekend. Hij draagt nu echter zelf actief bij aan deze onzekerheid door niet wetgevend te handelen en slechts in de toelichting bij de uitvoeringswet te verwijzen naar jurisprudentie gewezen onder het regime van een geheel ander soort Europese regelgeving. De wetgever erkent het dreigende rechtsvacuüm en dient hierop adequaat te handelen. Door het nationale toepassingsgebied van de AVG op eenvoudige wijze te verruimen, zal hij een mogelijk langdurige rechtsstrijd weten te voorkomen. De internetconsultatie van de Uitvoeringswet AVG is reeds gesloten, de Raad van State heeft een gelijkluidend advies gegeven. Het is nu aan de politiek om in te grijpen. Zij is, samen met de nationale wetgever, aan zet.

 

Deze Opinie is verschenen in NJB 2017/61, afl. 2. Mr. S.R.P. Bastiaans is advocaat te Amsterdam bij Stibbe. Hij bedankt Jacobine van den Brink voor haar begeleiding.

 

  1. PbEU 2016, L 119.
  2. HvJ EG 7 februari 1973, C-39/72 (Commissie/Italië), ECLI:EU:C:1973:13; en HvJ EG 10 oktober 1973, C-34/73 (Variola), ECLI:EU:C:1973:101.
  3. HvJ EU 20 mei 2003, C-465/00 (Rechnungshof/Österreichischer Rundfunk), ECLI:EU:C:2003:294.
  4. Kamerstukken II 2017/18, 34851, 3.
  5. Advies W03.17.0166/II van de Raad van State, gegeven op 10 oktober 2017, Kamerstukken II 2017/18, 34851, 4.

Naam auteur: Steven Bastiaans
Geschreven op: 11 januari 2018

Reageer op dit artikel
















Even geduld a.u.b.

Reacties

Micha Groeneveld schreef op :
Ik vraag me af of de auteur niet te vroeg is gestopt met lezen.
Na de genoemde verwijzing naar de Rundfunk-jurisprudentie staat immers letterlijk in de MvT dat de regering er vanuit gaat dat uitsluitend verwerkingen in het kader van nationale veiligheid en verwerkingen door de krijgsmacht niet onder de AVG vallen.

Genoemde verwerkingen zijn dus de enige waar een vacuüm zou kunnen ontstaan en dat gat is gedicht.
De AVG geldt dus sowieso (meent de regering althans) voor de genoemde “lokale sport- of gezelligheidsverenigingen in het midden van ons land”.

Mocht over de juistheid van het oordeel van de regering nog onzekerheid bestaan: blijkens pagina 11 van de Mvt is beoogd ook dat risico af te dekken, de MvT vermeldt:
Het kan echter niet bij voorbaat worden uitgesloten dat er toch nog andere verwerkingen bestaan die onder deze uitzonderingsgrond vallen. Om te voorkomen dat op dergelijke verwerkingen in het geheel geen regels omtrent de bescherming van de persoonlijke levenssfeer van toepassing zouden zijn, worden de Uitvoeringswet en de verordening op deze verwerkingen respectievelijk van toepassing en van overeenkomstige toepassing verklaard (zie artikel 3 van het wetsvoorstel).

Artikel 3 lid 1 regelt daarom expliciet dat de wet mede van toepassing is op verwerkingen (a) in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen en (b) door de krijgsmacht bij uitvoering van de in dat artikel genoemde activiteiten.

Mij ontgaat dus volledig over welk vacuüm hier wordt gesproken.
Steven Bastiaans schreef op :

Beste Hans,

Veel dank voor uw bericht. Het is correct dat artikel 16 VWEU eenieder het recht toekent op bescherming van zijn persoonsgegevens. Het vereiste van een grensoverschrijdend aspect voor de toepassing van de AVG volgt dan ook uit artikel 2 lid 2 onder a AVG zelf: "Deze verordening is niet van toepassing op de verwerking van perssoonsgegevens in het kader van activiteiten die buiten de werkingssfeer van Unierecht vallen". Zie in dit kader tevens (ironisch genoeg) overweging 16 bij de AVG: "Deze verordening is niet van toepassing op vraagstukken met betrekking tot de bescherming van de grondrechten en de fundamentele vrijheden of het vrije verkeer van persoonsgegevens in verband met niet onder het Unierecht vallende activiteiten [...]".

Opgemerkt dient nogmaals te worden dat deze eis van een grensoverschrijdend aspect voor de toepassing van Europees recht niet nieuw is (zie artikel 3 lid 2 Privacyrichtlijn, maar ook jurisprudentie bij de Dienstenrichtlijn (HvJ EU 1 oktober 2015, C-340/14 (Trijber), C-341/14 (Harmsen), ECLI:EU:C:2015:641, hoewel de advocaat-generaal hierbij in zijn conclusie een verschuiving van gedachten constateert)), maar dat de stap om deze beperking in toepassingsgebied te "negeren" groter is nu het geen richtlijn maar een (niet in nationaal recht omgezette) verordening betreft.

Ik hoop hiermee enige opheldering te hebben gegeven.

Vriendelijke groet.
Steven

Hans Vedder schreef op :
Beste Steven,

Hartelijk dank voor je leuke blogpost. As ik het goed begrijp baseer je de stelling dat de AVG niet ziet op volledig interne situaties op artikel 16 VWEU. Je schrijft: Deze bepaling is terug te voeren op artikel 16 van het Verdrag betreffende de werking van de Europese Unie, dat eenieder het recht op bescherming van zijn persoonsgegevens biedt bij de uitoefening van activiteiten die binnen het toepassingsbereik van het recht van de Unie vallen.' Dat verduidelijk je door te stellen dat '[e]r dient sprake te zijn van een aanknopingspunt met EU-recht, een grensoverschrijdend aspect.'

Mijn vraag is waar je de beperkte lezing van artikel 16 VWEU vandaan haalt. Artikel 16(1), dat het grondrecht bevat, is klip en klaar: 'Eenieder heeft recht op de bescherming van zijn persoonsgegevens'. Daar is dus geen sprake van een inperking tot grensoverschrijdende situaties. Het tweede lid, dat de rechtsgrondslag bevat om het grondrecht te operationaliseren, bevat wel een inperking tot 'het toepassingsgebied van het recht van de Unie'. Naar mijn mening is dit toepassingsgebied, aldus artikel 16(1) VWEU, niet beperkt tot grensoverschrijdende situaties. Het recht op bescherming van persoonsgegevens komt immers 'eenieder' toe, niet alleen zij die een grensoverschrijdend element kunnen aanwijzen in hun situatie. Kan het zijn dat deze soep minder heet wordt gegeven dan zij wordt opgediend, of zie ik iets over het hoofd?

NJB Vlog

NJB Vlog is onlangs van start gegaan op njb.nl en You Tube. In korte interviews geven auteurs een toelichting op hun artikel en motivatie waarom ze in de pen klommen. 

Afbeelding

Marc Wever en Bert Marseille over hun artikel Winstkans, finaliteit en snelheid in het bestuursrechtelijke hoger beroep revisited. Intrigerend, voorspelbaar en teleurstellend.




Lees en doorzoek het NJB online in Navigator

Inloggen

Agenda

Afbeelding

Ontmoet vakgenoten en bespreek actuele onderwerpen in de LinkedIn-groep van het Nederlands Juristenblad.

 

 

U maakt gebruik van een verouderde browser

Het gebruik van een verouderde browser maakt uw computer onveilig en tevens ongeschikt voor het optimaal raadplegen van deze website.

De website van het NJB - Nederlands Juristenblad is namelijk geoptimaliseerd voor een nieuwere versie van uw browser.
In de meeste gevallen waarin het fout gaat, betreft dit het gebruik van de Internet Explorer browserversie 7 of 8.
Deze website is geoptimaliseerd voor Internet Explorer 9 en hoger, Google Chrome, Safari en Firefox.

Bekijk hier of er een nieuwere versie van uw browser beschikbaar is.