Vragen van de leden Wörsdörfer en Koopmans (beiden VVD) aan de Staatssecretaris van Economische Zaken en Klimaat en de Minister voor Rechtsbescherming over het bericht «Mkb kan uitzondering op nieuwe strenge privacywet wel vergeten» (ingezonden 17 mei 2018).

Antwoord van Staatssecretaris Keijzer (Economische Zaken en Klimaat) mede namens de Minister van Justitie en Veiligheid (ontvangen 12 juli 2018). Zie ook Aanhangsel Handelingen, vergaderjaar 2017–2018, nr. 2362.

Vraag 1

Bent u bekend met het artikel «Mkb kan uitzondering op nieuwe strenge privacywet wel vergeten»?1

Antwoord 1

Ja.

Vraag 2

Welke inschatting heeft u van de kosten voor het midden- en kleinbedrijf (mkb) om bijtijds aan de Algemene verordening gegevensbescherming (AVG) te voldoen?

Antwoord 2

In het artikel wordt een onderzoek uit 2013 genoemd waarin de kosten van de AVG voor het Nederlandse bedrijfsleven op 1,1 miljard euro worden ingeschat. De werkelijke kosten en tijdsinzet zullen per bedrijf verschillen. Een onderneming die reeds voldeed aan de (inmiddels ingetrokken) Wet Bescherming Persoonsgegevens, zal met minder tijd en kosten aan de AVG kunnen voldoen dan een ondernemer die te maken had (of heeft) met achterstallig onderhoud. Hoewel de AVG een registerplicht voor verwerkingen introduceert, bestond de eis om uitdrukkelijke omschrijvingen van verwerkingen van persoonsgegevens bij te houden bijvoorbeeld al sinds 2001.

Vraag 3

Kunt u tegemoetkomen aan de zorgen onder veel mkb'ers over de vaagheid van diverse normen onder de AVG, met name de registerplicht en de vraag welke dataopslag wel en welke niet onder de AVG valt? Zo ja, kunt u dat dan op zo kort mogelijke termijn doen?

Antwoord 3

Aan deze zorgen is mijns inziens al voldoende tegemoet gekomen. De rijksoverheid heeft namelijk een aantal hulpmiddelen beschikbaar gesteld om ondernemers te helpen bij het voldoen aan de vereisten uit de AVG. Naast de Handleiding Algemene Verordening Gegevensbescherming heeft het Ministerie van Justitie en Veiligheid, met medewerking van VNO-NCW en MKB-Nederland, de brochure «De Algemene verordening gegevensbescherming: wat betekent deze Europese wet voor jou als ondernemer?» gepubliceerd. In deze specifiek op de ondernemer gerichte handreiking worden de belangrijkste begrippen uit de AVG verduidelijkt en een overzicht gegeven van de stappen die gezet moeten worden om aan de AVG te voldoen.

De Autoriteit Persoonsgegevens geeft op de website https://hulpbijprivacy.nl/ informatie en hulpmiddelen voor ondernemers. Voorts geeft een deel van de brancheverenigingen voorlichting en hulpmiddelen om te voldoen aan de AVG.

De registerplicht (Artikel 30 AVG) geldt voor alle structurele verwerkingen zoals een klantenbestand en de personeelsadministratie. Er is sprake van een uitzondering voor incidentele verwerkingen met een laag risico, bijvoorbeeld het verwerken van gegevens ten behoeve van een bedrijfsuitje, of als er geen bijzondere categorieën persoonsgegevens, zoals gezondheidsgegevens of strafrechtelijke gegevens, worden verwerkt door ondernemingen met minder dan 250 medewerkers. De regel is dus dat een register moet worden bijgehouden en de uitzonderingen daarop zijn beperkt. Overigens, de registerplicht uit de AVG komt in de plaats van de huidige meldingsplicht uit de Wbp en is dus niet nieuw.

Vraag 4

Hoe heeft de Autoriteit Persoonsgegevens gereageerd op het door u aangekondigde gesprek naar aanleiding van de motie-Koopmans c.s. over hulpvaardige handhaving (Kamerstuk 34 851, nr.18)?

Antwoord 4

De motie Koopmans c.s. over hulpvaardige handhaving roept op tot het uitdrukkelijk onder de aandacht brengen van de Autoriteit Persoonsgegevens (AP) van het belang van voorlichting en wetsuitleg, met name waar het de kleinere spelers betreft. Hieraan is uitvoering gegeven. Voorts is dit thema meermalen onderwerp van bespreking geweest met de Kamer, meest recentelijk bij de beantwoording van de mondelinge vragen van lid Van Dam naar aanleiding van de publicatie in het FD van 25 mei jl.

De AP is een onafhankelijke toezichthouder die zelf haar toezichtskeuzes maakt. De AP heeft op 25 mei 2018 haar toezichtskader uitgebracht. De AP heeft ervoor gekozen om de komende twee jaar in haar toezicht de focus te leggen op de naleving van de verantwoordingsplicht door organisaties door het doen van onderzoeken en het geven van voorlichting. Zo heeft de AP aangekondigd te zullen gaan controleren of de organisaties die verplicht zijn een functionaris voor gegevensbescherming aan te stellen, zoals overheden en zorginstellingen, op 25 mei 2018 zo’n functionaris hebben. Andere aandachtspunten in het toezicht zijn de beveiliging en verwerking van gegevens, de niet gemelde datalekken en de handel in persoonsgegevens.

De AP heeft verder laten weten dat de AVG voor iedereen geldt, ook voor het mkb, maar dat zij vanuit het oogpunt van redelijkheid niet direct zal langsgaan bij de mkb-er «op de hoek», tenzij sprake is evidente overtredingen en/of een klacht over dat bedrijf. Daarnaast heeft de AP veel aandacht voor het geven van voorlichting. Zo heeft de AP een voorlichtingscampagne gevoerd, ruim 100 presentaties over de AVG gegeven en biedt zij veel informatie en instrumenten voor diverse doelgroepen op haar website aan waarmee zij organisaties helpt de AVG na te leven.

Om de AP de ruimte te geven om naleving af te dwingen zonder een boete op te leggen, is in de Uitvoeringswet AVG het instrument last onder dwangsom toegevoegd aan het arsenaal van sancties die de AP kan opleggen. Een sanctie wordt voorkomen als een organisatie binnen de gestelde termijn kan aantonen dat zij aan de eisen van de AVG voldoet. Sanctionering is voor de AP geen doel op zich, het belangrijkste is dat overeenstemming wordt bereikt.

Naar boven