34 939 Aanpassing van wetten ter uitvoering van Verordening (EU) 2016/679 van het Europees parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PbEU 2016, L 119) en de Uitvoeringswet Algemene verordening gegevensbescherming (Aanpassingswet Algemene verordening gegevensbescherming)

Nr. 6 NOTA NAAR AANLEIDING VAN HET VERSLAG

Ontvangen 4 juni 2018

Algemeen

1. Inleiding

De leden van de VVD-fractie hebben kennisgenomen van de Aanpassingswet Algemene verordening gegevensbescherming (hierna: het wetsvoorstel). Zij constateren dat het wetsvoorstel, alhoewel fors van omvang, slechts technische wijzigingen doorvoert om de terminologie in alle wetten aan te passen aan de Algemene verordening gegevensbescherming (hierna: AVG). De voornoemde leden maken van de gelegenheid gebruik de regering enkele vragen te stellen over de AVG, mede naar aanleiding van de parlementaire behandeling van de Uitvoeringswet Algemene verordening gegevensbescherming (hierna: UAVG, Kamerstuk 34 851).

De leden van de CDA-fractie hebben met belangstelling kennisgenomen van onderhavig wetsvoorstel. Met deze (vooral technische) wijzigingen in uiteenlopende wetgeving wordt een afrondende stap gezet in de implementatie van de AVG. Hoewel de meeste wijzigingen in onderhavig wetsvoorstel beleidsarm zijn, hebben de voornoemde leden nog enkele vragen.

Met belangstelling heb ik kennisgenomen van het verslag. Van de gelegenheid maak ik graag gebruik mijn grote dank uit te spreken dat uw Kamer zo spoedig na de indiening van het onderhavige wetsvoorstel het verslag heeft uitgebracht. De AVG is van groot belang voor burgers, bedrijven en overheden. De UAVG is op 25 mei 2018 in werking getreden. Daarmee is een belangrijke stap gezet in de afstemming van het gegevensbeschermingsrecht in de Nederlandse wetgeving op de AVG. Het onderhavige wetsvoorstel bevat de technische aanpassingen die nodig zijn om de bestaande wetgeving aan te passen aan de AVG en de UAVG. Omdat de Wet bescherming persoonsgegevens door de UAVG wordt ingetrokken, moeten verwijzingen naar deze wet in de bestaande wetgeving worden aangepast. Ook moet verouderde terminologie uit de Wet bescherming persoonsgegevens worden omgezet naar de nieuwe terminologie van de AVG en de UAVG. Zo wordt bijvoorbeeld de term «verantwoordelijke» aangepast in «verwerkingsverantwoordelijke» en wordt de term «bewerker» aangepast in «verwerker». Ook wordt de verwijzing naar bijzondere categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijk aard in de UAVG zoveel mogelijk gestandaardiseerd in de Nederlandse wetgeving. Het is van belang dat dit wetsvoorstel zo spoedig mogelijk in werking kan treden, om zo op korte termijn tot een eenvormig geheel van AVG-conforme gegevensbeschermingsregels te komen. Ter overbrugging van de periode vanaf 25 mei 2018 tot het aanvaarden van dit wetsvoorstel door uw Kamer en de Eerste Kamer, ben ik voornemens om aan dit wetsvoorstel, voor zover dat mogelijk is, terugwerkende kracht te verlenen. Daarmee beoog ik eventuele onduidelijkheden die kunnen rijzen als gevolg van de laattijdige inwerkingtreding van dit wetsvoorstel, zoveel mogelijk te beperken. Hierna ga ik graag in op de vragen die de fracties van de VVD en het CDA stellen naar aanleiding van dit wetsvoorstel.

2. Wet basisregistratie personen

De leden van de CDA-fractie lezen dat de kennisgevingsplicht alleen zal plaatsvinden op verzoek van de betrokkene, in plaats van automatisch. Voornoemde leden vragen de regering hoe wordt vastgesteld dat kennisgeving onmogelijk blijkt of een onevenredige inspanning kost. Betekent deze beperking dat er in de praktijk nimmer kennisgeving zal plaatsvinden?

In lijn met het uitgangspunt dat, waar mogelijk, de verordening op een beleidsneutrale wijze in de Wet BRP zal worden geïmplementeerd, wordt de regeling met betrekking tot de kennisgevingsplicht zoals die in artikel 3.23 van de huidige wet is opgenomen, onder de werking van de verordening gehandhaafd. Dit betekent geenszins dat daarmee de verplichting illusoir zou worden om aan overheidsorganen en derden die uit de BRP gegevens verstrekt hebben verkregen kennis te geven van de verbetering, aanvulling of verwijdering van persoonsgegevens. Aan die verplichting wordt in de praktijk op grond van de huidige wet reeds inhoud gegeven en dat zal ook het geval zijn na de inwerkingtreding van dit wetsvoorstel. In de eerste plaats kan er op worden gewezen dat, zoals vermeld in de memorie van toelichting, de overheidsorganen en derden die bij ministerieel besluit zijn geautoriseerd voor het verkrijgen van zogenaamde spontane mutatieverstrekkingen uit de BRP langs die weg al op de hoogte kunnen komen van eventuele wijzigingen in de gegevens die het gevolg zijn van een verbetering, aanvulling of verwijdering. Daarnaast zal, evenals nu, op verzoek van de betrokken ingeschrevene aan overheidsorganen en derden kennis worden gegeven van een verbetering, aanvulling of verwijdering van hem betreffende gegevens, tenzij de kennisgeving onmogelijk blijkt of een onevenredige inspanning kost. De laatstgenoemde toevoeging is in de Wet BRP overgenomen uit artikel 12, onderdeel c, van de Europese privacyrichtlijn. Dezelfde toevoeging komt ook weer voor in artikel 19 van de AVG. Dit betekent dat ook in de verordening rekening wordt gehouden met de mogelijkheid dat er feitelijke omstandigheden kunnen zijn, waardoor het niet mogelijk is om aan het verzoek te voldoen (bijvoorbeeld omdat de instantie waaraan ooit gegevens uit de BRP zijn verstrekt niet meer bestaat of kan worden achterhaald) of dat de werkzaamheden die uit het verzoek voortvloeien (bijvoorbeeld door de omvang en de diversiteit van de gegevensverstrekking, met name indien deze niet op centraal niveau is geschied) een onevenredig inspanning zouden vergen in verhouding tot het daarmee te dienen belang van de verzoeker. Er zullen derhalve in het kader van de uitvoering van de Wet BRP waar mogelijk wel degelijk kennisgevingen als bedoeld in artikel 19 van de verordening plaatsvinden, zoals in de huidige praktijk ook het geval is.

Welke gevolgen heeft het voorliggende wetsvoorstel voor de ICT van de basisregistratie personen?

Hierop kan worden geantwoord dat uit het wetsvoorstel geen gevolgen voortvloeien voor de ICT van de basisregistratie personen.

3. Advies Autoriteit persoonsgegevens

De leden van de CDA-fractie lezen in het advies van de Autoriteit persoonsgegevens (hierna: AP) dat de AVG niet van toepassing is in Caribisch Nederland. In het voorliggende wetsvoorstel wordt er voor gekozen de Wet bescherming persoonsgegevens-BES (hierna: Wbp-BES) niet aan te passen aan de AVG. Waarom wordt er niet gekozen voor aanpassing van de Wbp-BES, los van het feit dat dit formeel niet nodig is? Is het niet bevorderlijk voor de uniformiteit binnen geheel Nederland om in de wetten eenzelfde terminologie te hanteren? Welke consequenties hebben verschillen in wet- en regelgeving tussen Europees en Caribisch Nederland waar het gaat om de bescherming van persoonsgegevens?

De leden van de CDA-fractie lezen in het advies van de AP dat de AVG niet van toepassing is in Caribisch Nederland. Los van het feit dat dit formeel niet nodig is, vragen zij waarom er niet voor is gekozen de Wet bescherming persoonsgegevens BES (Wbp-BES) aan te passen aan de AVG. Is het, aldus deze leden, niet bevorderlijk voor de uniformiteit binnen heel Nederland om in de wetten dezelfde terminologie aan te passen.

In antwoord hierop merk ik allereerst op, dat de AVG geldt voor Europees Nederland en dat de in Europees Nederland geldende wetgeving – waar noodzakelijk – dient te worden aangepast aan de AVG en de UAVG. Deze verplichting geldt niet voor de wetgeving die in Caribisch Nederland geldt. Ten tijde van de transitie van de Nederlandse Antillen is er immers voor gekozen om de «BES-eilanden» de LGO-status te geven als gevolg waarvan Unierecht aldaar niet van toepassing is. Er is derhalve afgezien van aanpassing van de Wbp-BES. Overigens zou in dat geval in de aanpassingsoperatie ook de overige in Caribisch Nederland geldende wetgeving dienen te worden bezien voor zover daarin sprake is van regels voor de verwerking van persoonsgegevens. Dat geldt ook waar het gaat om aanpassing van de terminologie. Dat in de wetgeving in Europees Nederland en in Caribische Nederland met verschillende termen wordt gewerkt acht ik echter niet problematisch, zolang de rechtsbescherming van de burger daarmee niet wordt aangetast; vgl. de begrippen «verwerkingsverantwoordelijke» (AVG) dat inhoudelijk overeenkomt met de «verantwoordelijke voor de gegevensverwerking» (Wbp-BES) alsmede het begrip «verwerker» (AVG) en «bewerker» (Wbp-BES).

De leden van de CDA-fractie vragen tot slot naar de consequenties van de verschillen in wet- en regelgeving tussen Europees en Caribisch Nederland waar het gaat om de bescherming van persoonsgegevens.

In de inleiding van de memorie van toelichting bij het voorstel voor een Uitvoeringswet AVG (Kamerstukken II 2017/18, 34 851, nr. 3, p. 4 e.v.) is nader ingegaan op de veranderingen die de AVG brengt ten opzichte van de ingetrokken richtlijn 95/46/EG en de Wet bescherming persoonsgegevens. Daarbij is geconstateerd dat de materiële normen waaraan de verwerking van persoonsgegevens onder het regime van de verordening moet voldoen, in grote mate gelijk zijn gebleven aan die uit richtlijn 95/46/EG en de Wbp. Wel worden in de AVG ten opzichte van de richtlijn en de Wbp een aantal extra rechten voor betrokkene geïntroduceerd (vgl. het recht op dataportabiliteit). Met de Wbp-BES, die sinds 10 oktober 2010 voor Caribisch Nederland geldt, is indertijd één op één aangesloten bij de Wet bescherming persoonsgegevens, die voor Europees Nederland gold. De Wbp-BES zal met ingang van 25 mei 2018 dan ook niet meer geheel aansluiten bij het wettelijk kader zoals dat dan voor Europees Nederland geldt. Ondanks de verschillen die zich dan voordoen, blijft in Caribisch Nederland sprake van een hoog niveau van bescherming van persoonsgegevens. Bij de evaluatie van de Wbp-BES zullen echter de ontstane verschillen worden betrokken.

4. Zuiver persoonlijke of huishoudelijke activiteiten

De leden van de VVD-fractie constateren dat de AVG niet van toepassing is op de verwerking van persoonsgegevens door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit. Deze leden hebben tijdens de parlementaire behandeling van de UAVG gevraagd wat hier precies onder valt. De regering antwoordde dat een precieze grens niet te geven is, maar ging wel in op enkele concrete voorbeelden (Kamerstuk 34 851, nr. 7, pagina’s 8–12). Voornoemde leden danken de regering voor deze beantwoording. Zij merken met interesse op dat de regering wijst op een arrest van het Hof van Justitie van de Europese Unie (hierna: HvJEU) van december 2014 waaruit zou blijken dat cameratoezicht door particulieren onder de noemer «zuiver huishoudelijke activiteit» valt, voor zover er niet (ook) beelden gemaakt worden van openbare ruimtes en de beelden niet worden verspreid (HvJEU C-212/13, kort besproken in Kamerstuk 34 851, nr. 7, pagina 11). Het arrest ziet in eerste instantie op beveiligingscamera’s. De aan het woord zijnde leden vragen wat de consequenties van het arrest zijn voor camera’s die niet met het oog op beveiliging zijn opgehangen. Kan de regering een analyse geven van dit relatief recente arrest in het licht van de AVG? Betekent het arrest dat een vader die een camera in de slaapkamer van zijn dochter ophangt en deze beelden wel afkijkt maar niet verspreidt, niet in strijd met de AVG handelt? Verandert dit als de vader dit van tevoren aan de dochter meldt? Hoe werkt dit als de camera in de badkamer wordt opgehangen, al dan niet met voorafgaande mededeling van de vader dat hij de camera heeft opgehangen? En in de woonkamer, al dan niet met voorafgaande mededeling? Indien de conclusie zou zijn dat deze voorbeelden niet binnen het bereik van de AVG vallen, is de regering dan van mening dat het bereik van de AVG moet worden aangepast? Zo ja, hoe? Zo nee, waarom niet? Als deze voorbeelden niet onder de AVG zouden vallen omdat er geen beelden worden gemaakt van openbare ruimtes en de beelden niet worden verspreid, zijn de geschetste situaties dan onrechtmatig of strafbaar op grond van andere wetten of beginselen? Zo ja, welke wetten of beginselen zijn dat?

Artikel 2, tweede lid, onderdeel c, van de AVG bepaalt dat de AVG niet van toepassing is op de verwerking van persoonsgegevens «door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit». Overweging 18 van de AVG voegt daaraan toe dat dit een «louter persoonlijke of huishoudelijke activiteit die als zodanig geen enkel verband houdt met een beroeps- of handelsactiviteit» moet betreffen. Ook de richtlijn 95/46/EG kent eenzelfde bepaling ter afbakening van het materieel toepassingsbereik.¹ De AVG kan wat betreft deze afbakening van het toepassingsbereik van de AVG gezien worden als voortzetting van het bestaande regime onder de richtlijn 95/46/EG en de Wet bescherming persoonsgegevens.

De vragen van de leden van de VVD-fractie hebben betrekking op de reikwijdte van deze afbakening van het toepassingsbereik van de AVG. De leden van de VVD-fractie willen weten of cameratoezicht door particulieren te kwalificeren is als de verwerking van persoonsgegevens door een natuurlijk persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit en of dit daardoor buiten het toepassingsbereik van de AVG valt. In de nota naar aanleiding van het verslag bij de UAVG (Kamerstukken II 2017–2018, 34 851, nr. 7, p. 8 t/m 13) is op dit punt ingegaan. Daarbij heb ik aangegeven dat aan deze afbakening geen precieze grens is te geven. Het criterium om te bepalen of er sprake is van een «zuiver persoonlijke activiteit» is of de verwerking is bedoeld voor een of meerdere personen. In dat eerste geval is de AVG niet van toepassing. Bij de vraag of er al dan niet sprake is van «zuiver huishoudelijke activiteiten» gaat het om het verwerken van de persoonsgegevens door consumenten, die als zodanig geen enkel verband houdt met een beroeps- of handelsactiviteit, waarbij wel meer mensen gebruik kunnen maken van de persoonsgegevens in kwestie. Ter concretisering hiervan heb ik verwezen naar de uitleg van de Autoriteit persoonsgegevens op haar website van de huishoudelijke activiteit; een duidelijk onderscheid wordt gemaakt tussen de situatie waarin de gegevens toegankelijk zijn voor iedereen dan wel slechts voor een beperkte kring.² Ook heb ik verwezen naar het arrest van het Hof van Justitie van de EU (C-212/13, Reynes) waaruit is af te leiden dat cameratoezicht door particulieren onder de noemer «zuivere huishoudelijke activiteit» valt, maar alleen voor zover er niet (ook) beelden gemaakt worden van openbare ruimtes en de beelden niet worden verspreid.

De leden van de VVD-fractie vragen een analyse van dit arrest in het licht van de AVG, in het bijzonder of het arrest betekent dat het door een vader maken van camerabeelden van zijn dochter in de eigen woning niet onder de AVG valt en of dat wel het geval zou moeten zijn. In dit arrest van het Hof van Justitie van de EU (C-212/13, Reynes) ging het om een burger die een camerasysteem aan zijn woning had bevestigd, met als doel de identiteit te achterhalen van de overlastgevers die zijn gezin en hem met enige regelmaat lastig vielen. De camera was gericht op de ingang van zijn huis, de openbare weg en de ingang van het huis aan de overkant. Op een zekere avond heeft de camera beelden vastgelegd waarop twee personen te zien waren die een ruit van de woning ingooiden. De camerabeelden, aan de hand waarvan twee verdachten te identificeren waren, zijn aan de politie overhandigd en in de daarop geopende strafzaak als bewijs aangevoerd. Het Hof van Justitie van de EU (hierna: HvJEU) oordeelde dat het hier een persoonsgegevensverwerking betrof die niet te kwalificeren is als een verwerking die is geschied met «uitsluitend persoonlijke of huishoudelijke doeleinden». Aangezien de camera ook de openbare ruimte heeft gefilmd waarbij opnames van personen met behulp van opnameapparatuur doorlopend zijn vastgelegd, is de verwerking buiten de privésfeer geraakt.

Het Hof van Justitie van de Europese Unie bepaalde in dit arrest dat de uitzondering op de toepasselijkheid van richtlijn 95/46 EG van de persoonsgegevensverwerking die met «uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht», strikt dient te worden uitgelegd. Het HvJEU hecht veel belang aan de bescherming van het grondrecht op de eerbiediging van het privéleven, zoals gewaarborgd in artikel 7 van het Handvest van de grondrechten van de Europese Unie. Dit grondrecht vereist dat de uitzonderingen op de bescherming van persoonsgegevens en de beperkingen ervan binnen de grenzen van het strikt noodzakelijke blijven. Ook onder de AVG zal dit onverkort blijven gelden.

Hoewel niet vooruit te lopen is op individuele gevallen die vanaf 25 mei 2018 door het HvJEU aan de AVG zullen worden getoetst, kan gelet op het voorgaande wel gesteld worden dat het HvJEU ook in de toekomst een strikte uitleg zal geven aan de uitzondering voor persoonsgegevensverwerking «bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit» en daarbij in aanmerking zal nemen of de camerabeelden, al dan niet gedeeltelijk, betrekking hebben op de openbare ruimte en daarin bewegende personen. Ook wanneer het gaat om camerasystemen die met een ander doel dan beveiliging worden opgehangen, zal het voorgaande gelden.

In het licht van het voorgaande ga ik ervan uit dat het maken van camerabeelden van personen in de eigen huishoudelijke sfeer met uitsluitend persoonlijk gebruik als doel, is aan te merken als een verwerking in het kader van een zuiver persoonlijke of huishoudelijke activiteit. Dit geval zou dan niet onder het toepassingsbereik van de AVG vallen. Dat neemt niet weg dat onder omstandigheden het maken van camerabeelden, in situaties zoals omschreven in de vragen van de leden van de VVD-fractie, de kritieke grens van het plegen van strafbare feiten kan overschrijden. De vader die opnames maakt van zijn dochter zonder oogmerk die verder te verspreiden, in de slaapkamer of een andere kamer van de woning, is weliswaar waarschijnlijk niet in overtreding van de AVG, maar handelt onder omstandigheden wel in strijd met de strafwetgeving. Wanneer de vader geen voorafgaande mededeling doet van het filmen, kan dit kwalificeren als het heimelijk filmen van een persoon in een woning alsmede beschikken over heimelijk gemaakt filmmateriaal. Dit is strafbaar gesteld in artikel 139f van het Wetboek van Strafrecht. Ook kan onder omstandigheden bijvoorbeeld sprake zijn van een zedendelict zoals strafbaar gesteld in artikel 240b van het Wetboek van Strafrecht. Naar mijn mening biedt de huidige strafwetgeving het juiste kader en voldoende mogelijkheden om dergelijke situaties aan te pakken.

Voorts lezen de leden van de VVD-fractie dat de AP de uitzondering huishoudelijke activiteit eng uitlegt (Kamerstuk 34 851, nr. 7, pagina 10). De aan het woord zijnde leden willen graag weten of er veel klachten of meldingen bij de AP binnenkomen die onder de uitzondering zuiver persoonlijke of huishoudelijke activiteiten vallen. Ook vragen zij hoeveel klachten of meldingen een grensgeval bevatten, waarbij het niet direct duidelijk is of de situatie wel of niet onder de uitzondering valt. Kan de regering aan de AP vragen hier een inventarisatie van te maken en dit te vermelden in het jaarverslag van de AP? Kan de regering deze informatie van de AP gebruiken in de berichtgeving aan de Kamer over de ervaringen met de AVG, conform de motie-Koopmans c.s. (Kamerstuk 34 851, nr. 19)?

De Autoriteit persoonsgegevens heeft aangegeven dat het aantal vragen tijdens het telefonisch spreekuur over de uitzondering zuiver persoonlijke of huishoudelijke activiteiten op het moment zeer beperkt is. Momenteel worden deze (grens)gevallen niet apart bijgehouden en geregistreerd. Hiermee zouden ook aanmerkelijke lasten zijn gemoeid. Mede gelet op het geringe aantal gevallen is de Autoriteit persoonsgegevens vooralsnog van oordeel dat de meerwaarde van exact kwantitatief inzicht in deze gevallen niet opweegt tegen deze lasten. Dit kan anders komen te liggen indien blijkt dat zich op dit punt bij de uitleg en de toepassing van de verordening zodanige knelpunten gaan voordoen dat verhoogde aandacht, en dan ook in EU-verband, aangewezen is.

5. Overig

De leden van de VVD-fractie vragen of de regering, in uitvoering van de motie-Koopmans c.s. over hulpvaardige handhaving (Kamerstuk 34 851, nr. 18), al onder de aandacht van de AP heeft gebracht dat de Kamer wenst dat de AP zich primair richt op voorlichting en hulp bij de interpretatie en uitvoering van de nieuwe regelgeving? Zo ja, wat was de reactie? Zo nee, wanneer is de regering voornemens dat te doen?

Ik onderschrijf het grote belang van goede maatschappelijke voorlichting en hulp bij de interpretatie en de juiste uitvoering van de nieuwe regelgeving. In het debat met uw Kamer over de UAVG (Kamerstukken II 2017–2018, 34 851, nr. 59) heb ik aangegeven met de voorzitter van de Autoriteit persoonsgegevens, de heer Wolfsen, te hebben gesproken over dit onderwerp. Hij heeft mij verzekerd dat de Autoriteit persoonsgegevens, zeker in de eerste jaren dat de AVG van toepassing is, veel aandacht zal schenken aan voorlichting en bijsturing. Bij de eerstvolgende gelegenheid zal ik hier nogmaals aandacht voor vragen bij de voorzitter van de Autoriteit persoonsgegevens.

De leden van de CDA-fractie constateren dat met het aannemen van de UAVG door de Eerste Kamer de implementatiedeadline van 25 mei 2018 gehaald gaat worden. Wel vragen de voornoemde leden de regering wat de gevolgen kunnen zijn van het niet op tijd aannemen van onderhavig wetsvoorstel.

Het onderhavige wetsvoorstel strekt tot aanpassingen van voornamelijk technische aard die nodig zijn om de bestaande wetgeving aan te passen aan de AVG en de UAVG. De leden van de CDA-fractie wijzen er terecht op dat het onderhavige wetsvoorstel niet is aangenomen voor de inwerkingtredingsdatum van de AVG van 25 mei 2018. De voor de implementatie van de AVG noodzakelijke uitvoeringsregelgeving is voor het overgrote deel vastgelegd in de UAVG. Het is vanzelfsprekend van belang om alle aanvullende regelgevingsmaatregelen zo spoedig mogelijk in werking te laten treden, om zo op korte termijn tot een eenvormig geheel van AVG-conforme gegevensbeschermingsregels te komen. Graag verzoek ik uw Kamer dan ook om ook na het uitbrengen van deze nota naar aanleiding van het verslag, prioriteit te geven aan de behandeling van dit wetsvoorstel.

Omdat de Wet bescherming persoonsgegevens door de UAVG wordt ingetrokken, moeten verwijzingen naar deze wet in de bestaande wetgeving worden aangepast. Ook moet verouderde terminologie uit de Wet bescherming persoonsgegevens worden omgezet naar de nieuwe terminologie van de AVG en de UAVG. Gelet op het feit dat het voornamelijk gaat om technische wijzigingen, zijn de gevolgen voor de uitvoeringspraktijk beperkt. Deze elementen van regelgeving zullen na 25 mei 2018 conform de AVG en ander relevant Unierecht moeten worden uitgelegd en toegepast. Mijn voornemen is om aan onderdelen van dit wetsvoorstel, waar dat mogelijk is, terugwerkende kracht te verlenen. Zodoende zal er juridisch gezien geen vacuüm ontstaan in de periode van 25 mei 2018 tot aan het aannemen van het wetsvoorstel.

De aan het woord zijnde leden constateren dat er onverminderd veel onduidelijkheid bestaat in de samenleving ten aanzien van de invoering van de AVG. Zij zien dat men zich bij kleine (sport)verenigingen en in het MKB zorgen maakt over de te treffen voorbereidingen. De voornoemde leden hebben hier al eerder aandacht voor gevraagd en vragen de regering hoe zij de informatievoorziening vanuit de overheid en de AP ten aanzien van de implementatie van de AVG beoordeelt.

Er wordt zowel vanuit de Autoriteit persoonsgegevens als het Ministerie van Justitie en Veiligheid veel gedaan om burgers en bedrijven te informeren over de AVG. Ook organisaties als VNO/NCW, MKB-Nederland en andere brancheverengingen doen aan voorlichting voor hun achterban.

De Autoriteit persoonsgegevens heeft een leidende rol bij de communicatie en voorlichting over de AVG en is hier heel actief mee aan de slag. De AP heeft de afgelopen periode veel informatie verschaft in het Dossier AVG op haar website en voorlichtingsactiviteiten uitgevoerd in de vorm van ongeveer 100 presentaties voor uiteenlopende branches, onder meer voor de financiële sector, de rijksoverheid, lokale overheden, het onderwijs, de zorg en de advertentiesector. De Autoriteit persoonsgegevens is op 29 januari jongstleden gestart met een voorlichtingscampagne over de AVG, waaraan het Ministerie van Justitie en Veiligheid financieel heeft bijgedragen. Met de campagne biedt de Autoriteit persoonsgegevens organisaties praktische hulp om te voldoen aan hun nieuwe plichten. Zoals een digitale «regelhulp» waarmee organisaties snel in kaart kunnen brengen wat zij nog moeten doen voor 25 mei. Op hulpbijprivacy.nl, de campagnewebsite van de Autoriteit persoonsgegevens, worden ook andere hulpmiddelen aangeboden (voor het brede publiek, maar ook voor speciale doelgroepen zoals onderwijs, zorgverleners en webshops) en staat veel informatie over de rechten en plichten uit de nieuwe wet overzichtelijk op een rij. Ook organiseerde de Autoriteit persoonsgegevens in samenwerking met het Nederlands Genootschap van Functionarissen voor de Gegevensbescherming (NGFG) zelf een bijeenkomst voor de functionarissen voor gegevensbescherming. Vanuit de gezamenlijke toezichthouders verenigd in de Artikel 29-werkgroep worden richtsnoeren opgesteld die de toepassing van de AVG ondersteunen. De Europese Commissie heeft aangekondigd vanaf januari 2018 een budget beschikbaar te stellen voor voorlichting voor het MKB en is op 25 januari jongstleden zelf ook een voorlichtingscampagne gestart. De Autoriteit persoonsgegevens is ook telefonisch bereikbaar voor vragen.

Ook het Ministerie van Justitie en Veiligheid verschaft uit eigen beweging informatie en voorlichting over de nieuwe wetgeving. Het ministerie heeft begin van dit jaar een toegankelijke Handleiding AVG en UAVG gepubliceerd. De handleiding is bedoeld voor iedereen die meer wil weten over de AVG en de Uitvoeringswet AVG maar is primair bedoeld voor verwerkingsverantwoordelijken die hun organisatie op de AVG willen voorbereiden. In 2017 is de flyer «Anticiperen op de AVG» op www.rijksoverheid.nl geplaatst. Dit digitale dossier is aangemaakt voor het algemene publiek en bedrijfsleven. Ook is afgesproken dat ondernemers zich in een latere fase van de implementatie met vragen over bijvoorbeeld de gekozen aanpak kunnen wenden tot de Autoriteit persoonsgegevens.

Speciaal voor het MKB is op 24 mei 2018 een praktische compacte brochure gepubliceerd met als titel: «De Algemene verordening gegevensbescherming. Wat betekent deze Europese wet voor jou als ondernemer?». In samenwerking met VNO-NCW, MKB-Nederland en met medewerking van enkele brancheorganisaties zijn de actuele vragen van kleine bedrijven over de AVG in kaart gebracht. Het gaat om vragen als wanneer is een functionaris voor gegevensbescherming verplicht, hoe lang mag ik gegevens bewaren, is de AVG van toepassing op mijn verwerking en wanneer ben ik verwerkingsverantwoordelijke? Bij het informeren van organisaties en personen werkt het ministerie samen met andere relevante actoren ieder vanuit de eigen verantwoordelijkheid, en met inachtneming van de onafhankelijke positie van de Autoriteit persoonsgegevens.

II. ARTIKELSGEWIJS

Hoofdstuk 1. Ministerie van Justitie en Veiligheid Artikel 1.1 Boek 7 Burgerlijk Wetboek De leden van de CDA-fractie lezen dat de functionaris gegevensbescherming niet mag worden ontslagen of gestraft voor de uitvoering van zijn taken en niet mag worden ontslagen of gestraft tijdens het verrichten van het werk dat volgt uit zijn taak als functionaris gegevensbescherming. In hoeverre geniet men deze bescherming indien men belast is met het toepassen van de AVG maar niet officieel functionaris gegevensbescherming is? Kan iemand ook op basis van de activiteiten die hij of zij verricht worden aangemerkt als functionaris gegevensbescherming zonder dat iemand hiervoor officieel is aangesteld?

De verplichting tot het aanwijzen van een functionaris voor gegevensbescherming is opgenomen in artikel 37 van de AVG. De positie van de functionaris voor gegevensbescherming is geregeld in artikel 38 van de AVG. Artikel 38, derde lid, van de AVG bepaalt dat de functionaris voor gegevensbescherming niet door de verwerkingsverantwoordelijke of verwerker kan worden ontslagen of gestraft voor de uitvoering van zijn taken. De taken van de functionaris voor gegevensbescherming zijn neergelegd in artikel 39 van de AVG. De bescherming tegen ontslag of straf heeft uitsluitend betrekking op de functionaris voor gegevensbescherming die als zodanig is aangewezen door de verwerkingsverantwoordelijke of verwerker en wiens contactgegevens op grond van artikel 37, zevende lid, van de AVG zijn bekendgemaakt en zijn medegedeeld aan de Autoriteit persoonsgegevens. Hiermee wordt veiliggesteld dat de functionaris voor gegevensbescherming op een adequate wijze de taken uit artikel 39 van de AVG kan uitoefenen. Deze bescherming beperkt zich derhalve tot degenen die officieel in deze capaciteit zijn aangewezen en de bij die functie behorende taken uitoefenen.³

Deze nota naar aanleiding van het verslag wordt mede namens de Minister en Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties ingediend.

De Minister voor Rechtsbescherming, S. Dekker

---

1 De Nederlandse vertaling wijkt enigszins af, maar de Engelse tekst van de AVG en de Richtlijn is gelijkluidend («by a natural person in the course of a purely personal or household activity»). In de Wbp is deze telst geïmplementeerd in artikel 2, tweede lid, onderdeel a, luidende: «Deze wet is niet van toepassing op verwerking van persoonsgegevens: a. ten behoeve van activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden».

2 Op de website van de Ap staat een toelichting op hoe de Ap omgaat met publicatie van persoonsgegevens op internet door particulieren (https://www.autoriteitpersoonsgegevens.nl/nl/onderwerpen/internet-telefoon-tv-en-post/persoonsgegevens-op-internet).

3 De Artikel 29-werkgroep van Europese privacytoezichthouders heeft de «Richtlijnen voor functionarissen voor de gegevensbescherming (FG’s) uitgebracht. De Nederlandse vertaling daarvan is te vinden op de website van de Autoriteit persoonsgegevens: https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/richtlijnen_fg.pdf.