36 875 Uitvoering van Verordening (EU) 2024/2847 van het Europees parlement en de Raad van 23 oktober 2024 betreffende horizontale cyberbeveiligingsvereisten voor producten met digitale elementen en tot wijziging van Verordeningen (EU) nr. 168/2013 en (EU) 2019/1020 en Richtlijn (EU) 2020/1828 (Uitvoeringswet verordening cyberweerbaarheid)

Nr. 9 AMENDEMENT VAN HET LID VAN DEN BERG

Ontvangen 7 september 2026

De ondergetekende stelt het volgende amendement voor:

Aan artikel 3.4 wordt een lid toegevoegd, luidende:

• 3. De persoonsgegevens die zijn opgenomen in het verslag, bedoeld in het tweede lid, worden uiterlijk één jaar na de dag van opstelling van het verslag verwijderd, tenzij de bevindingen uit het verslag hebben geleid tot een bestuurlijke boete, een herstelsanctie of een andere handhavingsbeslissing. In dat geval worden de persoonsgegevens verwijderd zodra de bewaring daarvan niet langer noodzakelijk is voor de behandeling, uitvoering of rechtsbescherming in verband met die procedure, en in ieder geval uiterlijk vijf jaar na het onherroepelijk worden van de bestuurlijke boete, de herstelsanctie of de andere handhavingsbeslissing.

Toelichting

Dit amendement regelt een specifieke bewaartermijn voor persoonsgegevens die zijn opgenomen in het verslag van de toepassing van de bevoegdheid om onder fictieve identiteit en hoedanigheid producten met digitale elementen te verkrijgen.

Het gebruik van een fictieve identiteit is een ingrijpende toezichtbevoegdheid. Artikel 3.4, tweede lid, verplicht de toezichthouder daarom tot het opstellen van een schriftelijk verslag van de toepassing van deze bevoegdheid. Het verslag heeft onder meer tot doel de toepassing van de bevoegdheid achteraf toetsbaar te maken.

Het wetsvoorstel bevat echter geen specifieke regeling voor de vraag hoe lang dit verslag, en in het bijzonder de daarin opgenomen persoonsgegevens, mogen worden bewaard wanneer uit het onderzoek geen overtreding blijkt.

De indiener acht het vanuit het oogpunt van proportionaliteit, rechtszekerheid en privacy wenselijk dat hiervoor een concreet wettelijk kader wordt vastgesteld. Het enkele feit dat informatie in het kader van toezicht is verkregen, rechtvaardigt niet zonder meer dat deze informatie gedurende langere tijd beschikbaar blijft voor mogelijk toekomstig toezicht.

Het amendement bepaalt daarom dat persoonsgegevens die zijn opgenomen in het verslag in beginsel uiterlijk één jaar na het opstellen daarvan worden verwijderd. Indien de bevindingen aanleiding hebben gegeven tot een daadwerkelijke handhavingsprocedure, kan bewaring noodzakelijk zijn voor de behandeling, uitvoering en rechtsbescherming in verband met die procedure. In dat geval wordt de bewaring beperkt tot hetgeen daarvoor noodzakelijk is en geldt bovendien een uiterste termijn van vijf jaar na het onherroepelijk worden van de desbetreffende handhavingsbeslissing.

De voorgestelde regeling beoogt daarmee het beginsel van opslagbeperking uit artikel 5, eerste lid, onderdeel e, van de Algemene verordening gegevensbescherming nader te concretiseren voor deze specifieke toezichtbevoegdheid. De regeling strekt er niet toe een langere bewaartermijn mogelijk te maken dan op grond van de Algemene verordening gegevensbescherming is toegestaan.

Met deze regeling wordt voorkomen dat persoonsgegevens die uitsluitend zijn verzameld in het kader van een mysteryshoppingonderzoek waarin geen overtreding is vastgesteld, zonder duidelijke en concrete aanleiding langdurig onderdeel blijven van toezichtsdossiers.

Van den Berg