zwenneblog

Dit is mijn inbreng (op persoonlijke titel natuurlijk) voor de internetconsultatie van het ontwerp van de Uitvoeringswet AVG

REACTIE T.B.V. INTERNETCONSULTATIE

Uitvoeringswet Algemene Verordening Gegevensbescherming

20 januari 2017 | prof. mr. G-J. Zwenne

1. In de toelichting bij het ontwerp van de Uitvoeringswet AVG wordt uiteengezet dat daarin wordt gestreefd naar een beleidsneutrale uitvoering van de verordening ten opzichte van het geldend recht onder de richtlijn en de Wbp. Dit houdt in dat het bestaande recht wordt gehandhaafd, tenzij dit in het licht van de verordening niet mogelijk is.

2. In het licht daarvan is opmerkelijk, en te betreuren, dat in het ontwerp van de Uitvoeringswet niet is voorzien in een regeling voor de bindende aanwijzing zoals die op dit moment is opgenomen in artikel 66, derde t/m vijfde lid, van de Wet bescherming persoonsgegevens (“Wbp”)

3. De regeling voor de bindende aanwijzing is recent, namelijk op 1 januari 2016, opgenomen in de wet (Stb. 2015, 230 en 281). Dit nadat de Raad van State had gewezen op de noodzaak daarvan (Stcrt. 2014, nr. 34523), en nadat daarover zowel in zowel de Tweede Kamer als in de Eerste Kamer serieus en uitvoerig is gedebatteerd.

Zie o.a. Kamerstukken II 2012/13, 33662, nr. 3, p. 13, nr. 5, p. 10; Kamerstukken II 2013/14, 33 662, nr. 7, p. 5; Kamerstukken II 2014/15, 33662, nr. 9, p. 1-2, 6, nr. 11, p. 14, nr. 15, p. 2-4; Kamerstukken I 2014/15, 33662, B, p. 5-7, C, p. 19 en 23-24.

4. De overweging om de bindende aanwijzing op te nemen in de wet houden verband met het lex certa-beginsel. Dit beginsel houdt in dat een voorschrift dat door punitieve sancties wordt gehandhaafd, voldoende duidelijk, voorzienbaar en kenbaar moet zijn. Het betreft een belangrijk rechtstatelijk beginsel en is dan ook te vinden artikel 16 Grondwet, alsmede in de mensenrechtverdragen (art. 15 IVBPR en art. 7 EVRM) en in artikel 5:4 van de Algemene wet bestuursrecht.

5. Een bindende aanwijzing is volgens de Raad van State nodig omdat het in de privacywetgeving, op dit moment de Wbp, over vrijwel de gehele linie gaat om zeer vage normen waarover relatief weinig rechtspraak bestaat. Onder die omstandigheden is duidelijk dat de verantwoordelijke, als normadressaat, in een niet te verwaarlozen aantal gevallen een aanzienlijke inspanningsverplichting moet leveren om, met inzet van (vaak kostbare) professionele deskundigheid, te (laten) beoordelen in hoeverre hij in overtreding is en in verband daarmee of, en op welke wijze, hij een bestuurlijke boete kan ontlopen.

6. Ook merkt de Raad van State op dat eventuele nadere regels, richtsnoeren van de toezichthouder of gedragscodes dit probleem slechts gedeeltelijk kunnen oplossen. Dit omdat het veelal gaat om een afweging van vaag omschreven belangen die pas in het concrete geval betekenis krijgen. Om deze reden acht de Raad van State het ongewenst dat onder dergelijke omstandigheden zonder meer een bestuurlijke boete kan worden opgelegd.

7. Om aan dit bezwaar tegemoet te komen heeft de wetgever in de wet bepaald dat de toezichthouder bij een vermoeden van een overtreding niet onmiddellijk een bestuurlijke boete kan opleggen, maar eerst een bindende aanwijzing moet geven. De toezichthouder kan daarin ter concretisering van de abstract-algemene wettelijke norm aangeven welke gedraging op grond van de Wbp van de verantwoordelijke wordt verwacht en kan deze verantwoordelijke daarbij opdragen om de overtreding te beëindigen. Als de bindende aanwijzing vervolgens niet binnen een bepaalde termijn wordt opgevolgd, kan een bestuurlijke boete worden opgelegd.

8. Elders in de Nederlandse wetgeving worden ter uitvoering en handhaving van Europese regelgeving vergelijkbare constructies gehanteerd.

Aldus Advies Raad van State, nr. W03.13.0464/II 19 februari 2014, inz. nota van wijziging inzake wijziging van de Wet bescherming persoonsgegevens (33 662), Nader Rapport, Stcrt. 2014, 34523.

9. De regering heeft naar aanleiding van dit advies in artikel 66, derde t/m vijfde lid, Wbp de regeling voor de bindende aanwijzing opgenomen. Aldus is voorzien in de waarborg dat wordt voldaan aan de vereisten die voortvloeien uit het lex certa-beginsel.

10. In de AVG staan niet minder vage normen en begrippen dan op dit moment in de Wbp. Integendeel. In besprekingen van de verordening wordt erop gewezen dat de verordening nog onverminderd heel veel open begrippen en algemeen-abstracte normen bevat, die allemaal in de praktijk zullen moeten worden geconcretiseerd en waarvan een eenduidige en geloofwaardige uitleg in veel gevallen vereist dat de rechter zich daarover uitspreekt.

Zie bijv. J. Holvast, ‘Veel onduidelijkheden kenmerken de nieuwe AVG’, P&I 2016/6, p. 237; J.P. De Jong, ‘De Algemene verordening gegevensbescherming’, Regelmaat 2015/1, p. 1-18; H. de Vries & M. Goudsmit, ‘Voorsorteren op de Algemene Verordening Gegevensbescherming: twee stappen vooruit, één stap terug’, NJB 2016/22, p. 1553-1560.

11. Er is verder geen aanleiding om te veronderstellen dat de regeling voor de bindende aanwijzing, zoals die op dit moment in de wet is opgenomen, niet zou zijn te verenigen met de verordening of afbreuk zou doen aan de door de verordening te beschermen belangen. Het is daarom niet goed te begrijpen waarom in het ontwerp van de Uitvoeringswet AVG, gelet op het uitgangspunt van beleidsneutrale implementatie, niet is voorzien in handhaving van deze regeling. Het lex certa-beginsel is, als gezegd, een belangrijk rechtstatelijk beginsel. En juist als het gaat om de bescherming van fundamentele rechten en vrijheden kan daaraan niet voorbij worden gegaan.

12. Om deze redenen ligt in de rede dat de regeling voor de bindende aanwijzing, zoals die op dit moment staat in artikel 66, derde t/m vijfde lid, Wbp, wordt gehandhaafd in de Uitvoeringswet AVG.

Den Haag, 19 januari 2016