Op 9 februari 2023 heeft minister Weerwind (Rechtsbescherming), mede namens staatssecretaris Van Huffelen (Digitalisering), het onderzoek ‘Naleving van de AVG door overheden’ aangeboden aan de Tweede Kamer. De brief leest u hier. Thijs Drouen, partner bij Hooghiemstra & Partners, werkte samen met Pro Facto aan dit onderzoek. De opdracht is afkomstig van het Wetenschappelijk Onderzoek- en Documentatiecentrum (WODC). In ‘Naleving van de AVG door overheden’ wordt onderzocht tegen welke problemen gemeenten aanlopen en wat de oorzaken hiervan kunnen zijn. Er worden verschillende aanbevelingen gepresenteerd. Zo raden de onderzoekers de minister voor Rechtsbescherming en de minister van BZK aan om verdere investeringen bij overheidsorganisaties te doen en een stimulerende rol te pakken om de privacy-organisatie bij overheden steviger te funderen en privacybewustzijn sterker te verankeren. Een aanbeveling voor de overheidsorganisaties is het hebben van specifieke aandacht voor het tijdig betrekken van privacybelangen bij de ontwikkeling van projecten die gepaard zullen gaan met verwerking van persoonsgegevens.

Het hele rapport is te lezen door op deze link te klikken.

Foto: Rutger Heijmerikx via Unsplash

Ministers Van Gennip (SZW) en Schouten (Armoedebeleid, Participatie en Pensioenen) boden op 11 januari 2023 de Tweede Kamer de Stand van de uitvoering sociale zekerheid aan. Met de Stand van de uitvoering wordt de Kamer twee keer per jaar geïnformeerd over wat er speelt in de uitvoering van de sociale zekerheid.

Onderdeel van deze Stand van de Uitvoering Sociale Zekerheid is een onderzoek naar de governance van de Stichting Inlichtingenbureau (IB) en Bureau keteninformatisering werk en inkomen (BKWI). In het rapport Grip op gegevensuitwisseling geven AEF, de Beleidsonderzoekers en Hooghiemstra & Partners inzicht in knelpunten die er op dit moment zijn. Van daaruit adviseren de onderzoekers om voor het BKWI te kiezen voor een eenduidig sturingsmodel voor de ketens waarin BKWI werkt. In dat model is de minister van SZW op grond van zijn stelselverantwoordelijkheid duidelijk de opdrachtgever van alle BKWI-taken. Voor Stichting IB is het advies om de taken te voorzien van een wettelijke verankering en om het zicht van de Tweede Kamer op het IB te versterken.

Op 13 januari heeft minister Ollongren van Defensie het onderzoeksrapport ‘Grondslag gezocht’ naar de Tweede Kamer gestuurd. Het onderzoeksrapport is opgesteld door de onafhankelijke commissie onderzoek LIMC, voorgezeten door Brouwer. De commissie deed onderzoek naar het Land Information Manoeuvre Centre (LIMC), dat van maart tot november 2020 actief was tijdens de COVID-19 pandemie. Het LIMC volgde het verloop van de crisis en deed op basis hiervan voorspellingen voor de toekomst. Nadat het NRC in november 2020 berichtte dat het leger op grote schaal heimelijk data verzamelde, werd de eenheid stilgelegd. Uit ‘Grondslag gezocht’ blijkt dat er sprake is geweest van het verwerken van persoonsgegevens zonder een rechtmatige grondslag. Onze collega Helen Hukshorn was lid van de commissie onderzoek LIMC. Ollongren omarmt de conclusies en geeft in de brief aan hoe de aanbevelingen worden opgevolgd. De hele brief is hier terug te lezen.

Het hele rapport is terug te lezen via deze link.

Foto via Specna Arms op Unsplash .

De AVG bestaat uit open normen die zich in de praktijk niet altijd makkelijk laten toepassen. Invulling daarvan door de Uitvoeringswet AVG is niet goed uit de verf gekomen. Dit komt door de ‘beleidsneutrale’ opzet van de Uitvoeringswet AVG en het gebrek aan (latere) concretisering van die open normen. De UAVG heeft daarmee niet veel toegevoegde waarde ten opzichte van de AVG. Voor de uitvoeringspraktijk draagt de UAVG niet bij tot meer duidelijkheid. Dit is de hoofdconclusie van de wetsevaluatie die Pro Facto en Hooghiemstra & Partners hebben gedaan in opdracht van het WODC. Het onderzoek naar uitvoerbaarheid van de UAVG genaamd ‘Bescherming gegeven?‘ is op 6 september aangeboden aan de Tweede Kamer. Het rapport vindt u hier: https://hooghiemstra-en-partners.nl/wp-content/uploads/2022/09/3249-Eindrapport-Bescherming-gegeven-Evaluatie-UAVG-meldplicht-datalekken-en-boetebevoegdheid.pdf.

De onderzoekers raden aan de wet te verbeteren. Dit kan door de UAVG en de sectorale wetgeving te benutten om tot concretisering te komen. Hierbij kan inspiratie worden opgedaan in andere landen waar de AVG ook geldt.

Ook gedragscodes zouden een veel effectievere rol kunnen spelen bij het toepassen van algemene beginselen in een specifieke sector. Specifiek voor het verwerken van persoonsgegevens door de overheid adviseren de onderzoekers de rechtsbescherming voor burgers tegen de verwerking van persoonsgegevens te vereenvoudigen. Dit kan door een brug te slaag tussen de (U)AVG en de Awb. Ook het gat dat nu bestaat tussen de AVG en de Awb bij geautomatiseerde besluitvorming zou gedicht kunnen worden. De toezichthouder, de Autoriteit Persoonsgegevens, zou de werkwijze rondom de bestuurlijke boete meer transparant kunnen vormgegeven en bij de meldplicht datalekken het toezicht op niet-melders kunnen intensiveren.

Achtergrond

Sinds 25 mei 2018 geldt de Algemene Verordening Persoonsgegevens (AVG). Deze Europese verordening regelt de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en het vrije verkeer van die gegevens. De Uitvoeringswet Algemene verordening persoonsgegevens (UAVG) vult de ruimte in die Nederland als lidstaat heeft om op bepaalde punten meer specifieke nationale regelingen te treffen.

Open normen

In het evaluatieonderzoek is gekeken naar de uitvoering van de UAVG en is de werking van de wet geëvalueerd. Hierbij hebben de onderzoekers veel hulp gekregen van experts uit het veld, van Functionarissen Gegevensbescherming (FG’s), staatsraden en advocaten tot aan academische experts.

De AVG gaat uit van open normen. Deze normen zijn voor een belangrijk deel een voortzetting van regelgeving die er voor de AVG ook al was. Een verdere concretisering en specifieke invulling in de UAVG heeft niet plaatsgevonden. Ook heeft per branche via zogenaamde gedragscodes amper een operationalisering van normen plaatsgevonden, nu de gedragscode als instrument nauwelijks van de grond komt. De onderzoekers formuleren dan ook verschillende aanbevelingen die gelet op het samenstel van AVG, UAVG, bijzondere wetgeving en sectorale gedragscodes handvatten kunnen zijn voor de praktijk van het gegevensbeschermingsrecht.

Besluitvorming en rechtsbescherming

Bij de rechtsbescherming tegen het handelen van de overheid heeft het besluit een sleutelrol. Dit wringt met de systematiek van de (U)AVG waarin de verwerking van persoonsgegevens en daarmee de verwerkingsactiviteit – een feitelijke handeling – een meer centrale rol inneemt. De onderzoekers raden aan om een brug te slaan tussen de (U)AVG en de Awb, zowel op het vlak van geautomatiseerde besluitvorming als op het vlak van rechtsbescherming. Ook pleiten de onderzoekers ervoor om de toegang tot de civiele rechter laagdrempeliger te maken door de toegang tot de verzoekschriftprocedure in de UAVG te verruimen.

Kinderen

Speciale aandacht is nodig voor de huidige zwakke positie van kinderen en hun persoonsgegevens. Juist van de jonge generatie worden ongekend veel persoonsgegevens vastgelegd en verspreid, soms ook door ouders. Zij zouden beter beschermd moeten worden.

Toezichts- en handhavingsbeleid nodig

Behalve naar de werking van de UAVG is ook gekeken naar het functioneren van de boetebevoegdheid van de AP. Het onderzoek plaatst kanttekeningen bij de wijze waarop de toezichthouder deze bevoegdheden hanteert. Zo hebben de onderzoekers niet kunnen vaststellen hoe het toezicht er in de praktijk uit ziet. Er is geen gepubliceerd toezichts- en handhavingsbeleid, zoals dat bij veel andere toezichthouders het geval is. Ook hebben de onderzoekers, na bestudering van cases waarin een bestuurlijke boete is opgelegd, niet goed duidelijk kunnen krijgen hoe de AP de hoogte van de boetes vaststelt. Zij verwachten dat een meer transparante werkwijze voor het vaststellen en opleggen van boetes kan zorgen voor meer begrip en grotere acceptatie door de ondertoezichtstaanden.

Geef niet gemelde datalekken meer aandacht

Het onderzoek naar uitvoerbaarheid van de UAVG stelde ook de meldplicht datalekken aan de orde. Opvallende bevinding is dat de toezichthouder relatief veel handhavingscapaciteit steekt in gemelde datalekken. Ook wanneer de ondertoezichtstaande maatregelen heeft genomen en het probleem heeft opgelost, leidt dat soms tot stevige sancties. De vraag is of in het toezicht het evenwicht tussen gemelde en niet-gemelde datalekken niet op een andere manier zou kunnen worden gevonden.

Eind maart verklaarden zowel de minister van Buitenlandse Zaken als de minister voor Rechtsbescherming dat zij iets belangrijks niet konden vanwege ‘de AVG’ of ‘de privacywet’. Reden voor Marlies van Eck om samen met Jeroen Terstegge, Friederike van der Jagt, Anna Berlee, Simone Huting en Simone van der Hof in de pen te klimmen. In Trouw betogen zij dat het uitblijven van actie eerder lijkt te worden veroorzaakt doordat de overheid te verkokerd is. Integraal zicht op problemen en dus ook op oplossingen is noodzakelijk. Lees de opinie van privacy experts hier: artikel Trouw.