Preview document (🔗 origineel)

---

No.W16.21.0372/II 's-Gravenhage, 16 maart 2022

...................................................................................

Bij Kabinetsmissive van 14 december 2021, no.2021002454, heeft Uwe Majesteit, op voordracht van de Minister voor Rechtsbescherming, mede namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties en de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt het voorstel van wet tot wijziging van de Uitvoeringswet Algemene verordening gegevensbescherming en enkele andere wetten in verband met het stroomlijnen en actualiseren van het gegevensbeschermingsrecht (Verzamelwet gegevensbescherming), met memorie van toelichting.

Het voorstel is tot stand gekomen mede naar aanleiding van de behandeling van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) in de Tweede Kamer. Het bevat een aantal inhoudelijke en technische wijzigingen. Zo worden onder meer wijzigingen voorgesteld inzake de uitoefening van rechten op basis van de Algemene verordening gegevensbescherming (AVG). Ook biedt het voorstel een grondslag voor de verwerking van (bijzondere) persoonsgegevens door curatoren, bewindvoerders, Wsnp-bewindvoerders, de Raad voor Rechtsbijstand en accountants, en een delegatiegrondslag voor verwerkingen door adviescolleges en commissies. Daarnaast bevat het voorstel voorschriften voor het verwerken van persoonsgegevens in het kader van transactiemonitoring, inclusief geautomatiseerde besluitvorming.

De Afdeling advisering van de Raad van State maakt opmerkingen over de invulling die in het wetsvoorstel wordt gegeven aan open AVG-normen. Dit tegen de achtergrond van de aard van de AVG en de ruimte voor de wetgever bij de nadere uitvoering hiervan. Het betreft de normen ‘zwaarwegend algemeen belang’ en ‘passende en specifieke maatregelen en waarborgen’. Tegen dezelfde achtergrond adviseert de Afdeling toe te lichten waarom de verwerking van bijzondere persoonsgegevens door accountants in de UAVG is opgenomen.

Verder worden opmerkingen gemaakt over de rechtsgrondslag voor het verwerken van de gegevens door en de taakomschrijving van de curator en de (Wsnp-) bewindvoerder. Daarnaast maakt zij opmerkingen over de uitbreiding van de verplichting tot transactiemonitoring. De Afdeling merkt verder op dat de reikwijdte van de mogelijkheid om de rechten van betrokkenen te beperken onduidelijk is.

Tot slot adviseert de Afdeling de reikwijdte van de delegatiegrondslag voor commissies en adviescolleges nader toe te lichten, evenals de vraag wie in dat verband als verwerkingsverantwoordelijke wordt aangemerkt. In verband daarmee is aanpassing van de toelichting en het voorstel wenselijk.

1. Inhoud en doel Verzamelwet gegevensbescherming

Op 25 mei 2018 trad de AVG in werking.¹ Ter uitvoering van de AVG stelt de UAVG regels op nationaal niveau. De Minister voor Rechtsbescherming dient binnen drie jaar na de inwerkingtreding van de UAVG, en vervolgens telkens na vier jaar, aan de Staten-Generaal een verslag toe te zenden over de uitvoering en effecten van deze wet in de praktijk.² Deze evaluatie wordt verwacht in mei 2022.³

Op deze evaluatie is reeds bij de behandeling van de UAVG in de Tweede Kamer vooruitgelopen met de toezegging door de minister direct na afronding van het wetsvoorstel de mogelijkheden te verkennen voor verdere modernisering en verbetering van het gegevensbeschermingsrecht.⁴ Tevens is de motie Koopmans c.s. overgenomen die de regering oproept om, na inwerkingtreding van de UAVG, te berichten over ervaringen en voornemens met betrekking tot een aantal gegevensbeschermingsrechtelijke aspecten.⁵

Dit wetsvoorstel beoogt bovengenoemde toezegging en motie uit te voeren. Doelstelling van het voorstel is het stroomlijnen en actualiseren van het gegevensbeschermingsrecht.⁶ In lijn met de doelstelling van de UAVG wordt verder uitvoering gegeven aan de AVG.⁷ Het voorstel bevat wijzigingen die betrekking hebben op uiteenlopende onderwerpen, van zowel technische als inhoudelijke aard. Wat betreft laatstgenoemde categorie van wijzigingen gaat het in het bijzonder om wijzigingen inzake de uitoefening van rechten op basis van de AVG, het bieden of verduidelijken van grondslagen voor de verwerking van (bepaalde categorieën van) persoonsgegevens en andere specifieke wijzigingen, zoals de verplichtingen van financiële ondernemingen op het gebied van het toezicht op transacties. In het kader van laatstgenoemde wijziging wordt tevens de mogelijkheid van geautomatiseerde besluitvorming geregeld.

2. De AVG: complexe en geleidelijke uitvoering

Het wetsvoorstel illustreert hoe gecompliceerd en geleidelijk de uitvoering van de AVG verloopt. Dat heeft te maken met het bijzondere karakter van de AVG. Zij regelt onderwerpen met een fundamenteelrechtelijk karakter.⁸ Omdat de AVG een verordening is, zijn haar bepalingen rechtstreeks toepasselijk in de lidstaten.⁹ Echter, op bepaalde onderdelen wordt aan de lidstaten ruimte gelaten om bij nationale wet nadere regels te stellen.¹⁰ Het is dan aan de nationale wetgever om, binnen de grenzen van de AVG, de AVG uit te voeren en nader uit te werken.

Dat is geen eenvoudige opgave. De AVG kent veel open normen die door de nationale wetgever nader moeten worden ingevuld. Dat leidt vaak tot moeilijke afwegingen die in een veranderende samenleving regelmatig opnieuw moeten worden herijkt. De door de AVG gestelde normen werken vanwege hun ruime reikwijdte door op veel maatschappelijke deelterreinen en daarmee in veel sectorwetgeving. Deze normen dienen vervolgens vaak nader te worden uitgewerkt in lagere regelgeving, en in de dagelijkse praktijk van bestuursorganen, maatschappelijke instellingen en het bedrijfsleven. De interpretatie van de AVG krijgt daarbij verder vorm in opinies van toezichthouders en rechterlijke uitspraken op Europees en nationaal niveau. Dat alles vereist op veel plaatsen in de samenleving juridische kennis van de AVG en van de wijze waarop deze ingrijpt in werkprocessen en de werking van de moderne technologieën.

Het voorliggende wetsvoorstel moet tegen de achtergrond van het voorgaande worden beoordeeld. Het laat op een aantal punten zien dat op wetsniveau nog veel oningevuld blijft en de voorgestelde wijzigingen daarom ook nog de nodige vragen oproepen. De meeste van onderstaande opmerkingen beogen op een aantal van deze punten bij te dragen aan verheldering. Het wetsvoorstel is in dat licht bezien niet het eindpunt. Mede als gevolg van de in de toelichting genoemde evaluatie van de UAVG zal meer wetgeving nodig zijn om de uitvoering van de AVG te verbeteren.

3. Nadere invulling open normen AVG

a. Inleiding

Het wetsvoorstel geeft aanleiding om nader in te gaan op twee aspecten die nauw samenhangen met het open karakter van (onderdelen van) de AVG en de door de nationale wetgever vereiste uitvoering daarvan. Dit betreft in de eerste plaats de invulling die wordt gegeven aan de voorwaarde dat voor de verwerking van bijzondere categorieën van persoonsgegevens een ‘zwaarwegend algemeen belang' is vereist.¹¹ Daarnaast bepaalt de AVG dat passende (en specifieke) waarborgen moeten gelden voor de verwerking van bijzondere categorieën van persoonsgegevens en strafrechtelijke persoonsgegevens.¹² Beide voorwaarden moeten worden ingevuld door de nationale wetgever.

b. Zwaarwegend algemeen belang

Het voorstel voorziet in een aantal grondslagen voor het verwerken van bijzondere persoonsgegevens. Het verwerken van bijzondere persoonsgegevens is in beginsel verboden, tenzij een beroep op één van de in de AVG genoemde uitzonderingsgronden kan worden gedaan.¹³ Eén daarvan is het regelen van een wettelijke grondslag om redenen van zwaarwegend algemeen belang. Het wetsvoorstel maakt daar veelvuldig gebruik van.¹⁴

In de toelichting op het wetsvoorstel wordt vermeld dat met het creëren van deze wettelijke grondslagen een zwaarwegend algemeen belang is gediend. De Afdeling heeft daar op zichzelf begrip voor. Desalniettemin rijst de vraag, gelet op de uiteenlopende aard van deze verwerkingsgrondslagen, in hoeverre al deze grondslagen daadwerkelijk een zwaarwegend algemeen belang dienen – en wat dit onderscheidt van een (niet-zwaarwegend) algemeen belang. Dat is te meer van belang omdat het antwoord op die vraag in het concrete geval uiteindelijk in de uitvoeringspraktijk moet worden gegeven. De vraag is in hoeverre die praktijk daarmee voldoende uit de voeten kan.

Ter illustratie kan dienen dat op grond van het wetsvoorstel curatoren en Wsnp-bewindvoerders bijzondere categorieën van persoonsgegevens kunnen verwerken ‘voor zover dat in het kader van een dringend maatschappelijk belang is vereist’.¹⁵ Onduidelijk is wat dit dringend maatschappelijk belang concreet kan inhouden, in hoeverre dit een zwaarwegend algemeen belang is in de zin van de AVG en wanneer en onder welke voorwaarden curatoren en bewindvoerders zich daarop kunnen beroepen. De Afdeling acht verheldering op dit punt van belang, ook om de rechtspraktijk hierin richtsnoeren te bieden.

De Afdeling adviseert hierop in de toelichting nader in te gaan.

c. Passende en specifieke maatregelen en waarborgen

i. Algemeen

In samenhang met het voorgaande voorziet het voorstel tevens in een aantal grondslagen voor de verwerking van strafrechtelijke gegevens.¹⁶ Voor het verwerken van strafrechtelijke gegevens dienen lidstaatrechtelijke bepalingen ‘passende waarborgen’ te bieden.¹⁷ Voor het verwerken van bijzondere persoonsgegevens om redenen van zwaarwegend algemeen belang (zie hiervoor) dienen eveneens passende en specifieke maatregelen te worden getroffen.¹⁸ De Afdeling merkt op dat de toelichting bij een aantal van deze wijzigingen echter niet ingaat op de (eventueel geldende) passende en specifieke maatregelen en waarborgen.¹⁹ Helderheid is hier geboden, juist vanwege het open karakter van de AVG.

ii. Transactiemonitoring en geautomatiseerde besluitvorming

De Afdeling wijst in dit verband op twee onderdelen van het voorstel waarop in het bijzonder meer helderheid is vereist. Het eerste onderdeel betreft het voorstel dat een aantal financiële ondernemingen in het kader van het uitvoeren van transactiemonitoring zo nodig ook geautomatiseerd transacties kunnen blokkeren of opschorten als hiervoor aanleiding is en indien aan een aantal voorwaarden wordt voldaan.²⁰ Geautomatiseerde besluitvorming wordt in de AVG onderworpen aan specifieke voorwaarden, waaronder het bieden van passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene.²¹

Het wetsvoorstel bepaalt daaromtrent dat bij algemene maatregel van bestuur aanvullende regels worden gesteld over ‘passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van cliënten in geval van het blokkeren of opschorten van betalingstransacties’.²² Uit de toelichting blijkt niet duidelijk om welke aanvullende regels – die van belang zijn voor de rechtspositie van de burger- het zal gaan. Omdat de AVG de aanwezigheid van passende maatregelen als voorwaarde stelt voor de toepassing van geautomatiseerde besluitvorming, is het van belang dat het wetsvoorstel dan wel in de toelichting meer duidelijkheid biedt over de aard en inhoud van deze aanvullende regels.

In verband met het voorgaande is voorts de vraag of, zoals de AVG voorschrijft, alle passende maatregelen van toepassing zullen zijn op het moment dat de bepalingen die voorzien in geautomatiseerde besluitvorming in werking treden. De toelichting bespreekt niet in hoeverre dat in de huidige opzet van het wetsvoorstel is verzekerd, en in welke mate dit afhankelijk is van de bij algemene maatregel van bestuur te stellen regels.

De Afdeling adviseert in de toelichting op het voorgaande in te gaan en het wetsvoorstel zo nodig aan te passen.

iii. Passende waarborgen voor commissies en adviescolleges

Het voorstel bevat regels omtrent de gegevensverwerking door commissies en adviescolleges.²³ De voorgestelde regeling voorziet in de mogelijkheid om in de instellingsregeling een uitzondering op te nemen voor de verwerking van bijzondere en strafrechtelijke persoonsgegevens. Daarbij stelt het wetsvoorstel als voorwaarde dat dat alleen geschiedt voor zover noodzakelijk met het oog op de taak van de commissie of van het adviescollege en het doel daarvan en ’onder de voorwaarden die de verordening hieraan verbindt’.²⁴

Met de aldus geformuleerde regeling blijft onduidelijk of in de instellingsregeling ook de noodzakelijke te treffen passende en specifieke maatregelen en waarborgen dienen te worden geregeld (zoals onder meer een bewaartermijn). Dat is van belang omdat, zoals hiervoor aangegeven, bij het verwerken van bijzondere en strafrechtelijke persoonsgegevens dient te worden voorzien in passende en specifieke maatregelen en waarborgen. Meer duidelijkheid hieromtrent is noodzakelijk. Daarbij is ook de vraag aan de orde in hoeverre de wet niet zélf althans op hoofdlijnen moet bepalen welke passende waarborgen hier van toepassing moeten zijn en welke elementen ter nadere uitwerking daarvan aan de instellingsregeling kunnen worden overgelaten.

De Afdeling adviseert in de toelichting op het voorgaande in te gaan en zo nodig het voorstel aan te passen.

4. Regeling in UAVG of sectorale wetten

Met het oog op de overzichtelijkheid en toegankelijkheid van de AVG en het daarop gebaseerde nationale gegevensbeschermingsrecht is van belang dat duidelijkheid bestaat over wat in de UAVG en wat in sectorale wetten is geregeld. In de toelichting bij het eerdere wetsvoorstel UAVG is met het oog daarop als uitgangspunt geformuleerd dat uitzonderingen, en rechtsgrondslagen voor de verwerking van (bijzondere) persoonsgegevens voor het vervullen van een publieke taak of wettelijke verplichting doorgaans worden gegeven in sectorspecifieke wetgeving.²⁵ Dit uitgangspunt leidt ertoe dat in de UAVG met name regelingen zijn te vinden die het belang van een specifieke sector overstijgen.

De Afdeling acht het wenselijk dat dit uitgangspunt ook gehanteerd wordt bij wijzigingen van de op de AVG gebaseerde uitvoeringswetgeving. In dat verband rijst de vraag in hoeverre die lijn steeds consequent is doorgetrokken in het onderhavige wetsvoorstel. Zo regelt het voorstel de uitzondering voor de verwerking van bijzondere categorieën van persoonsgegevens door accountants deels in de UAVG en deels in sectorale wetten.²⁶

Uit de toelichting blijkt niet waarom ervoor is gekozen om tevens in de UAVG een uitzondering op te nemen. Voor zover het wenselijk wordt geacht om te verduidelijken dat het accountants is toegestaan bijzondere persoonsgegevens te verwerken, ligt een verduidelijking in de vorm van een bepaling in de UAVG, gelet op het bovenstaande uitgangspunt, niet voor de hand. De specifieke wettelijke bepalingen – op basis waarvan het accountants is toegestaan bijzondere persoonsgegevens te verwerken – zijn niet te vinden in de UAVG maar in sectorale wetgeving. De toelichting licht de keuze voor een regeling in de UAVG niet nader toe.

De Afdeling adviseert in de toelichting in te gaan op de keuze om de uitzondering voor de verwerking van bijzondere categorieën van persoonsgegevens door accountants tevens in de UAVG op te nemen en zo nodig de voorgestelde bepaling te schrappen.

5. Voorgestelde wijzigingen Faillissementswet

a. Rechtsgrondslag voor verwerking persoonsgegevens

Het voorstel regelt dat de curator in faillissement en de bewindvoerder in verschillende situaties en met het oog op verschillende taken persoonsgegevens kunnen verwerken. Volgens het voorstel kan:

• de curator gegevens verwerken voor zover dit noodzakelijk is voor het beheer en de vereffening van de boedel;²⁷

• de bewindvoerder gegevens verwerken voor zover dit noodzakelijk is voor het beheer met de schuldenaar van diens zaken;²⁸

• de Wsnp-bewindvoerder gegevens verwerken voor het toezicht op de naleving door de schuldenaar van diens verplichtingen die uit de schuldsaneringsregeling voortvloeien en voor het beheer en de vereffening van de boedel.²⁹

Volgens de toelichting ligt de grondslag voor de verwerking van gegevens door de hiervoor genoemde actoren in de noodzaak van deze verwerking voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag die aan de verwerkingsverantwoordelijke is opgedragen.³⁰ Dit sluit niet uit dat er in voorkomende gevallen andere grondslagen voor gegevensverwerking kunnen zijn, zoals de wettelijke verplichting of gerechtvaardigd belang, aldus de toelichting.³¹

De AVG kent een aantal grondslagen voor de verwerking van persoonsgegevens, waarvan tenminste één dient te kunnen worden aangewezen.³² De Afdeling merkt op dat verduidelijkt moet worden welke grondslag in de onderscheiden situaties van toepassing is. Voor zover het wetsvoorstel beoogt te kiezen voor de specifiek op de publieke sector toegesneden grondslag³³ rijst de vraag in hoeverre een curator of bewindvoerder kan worden aangemerkt als zijnde belast met de uitoefening van een taak van algemeen belang of de uitoefening van openbaar gezag. Dit is mede gelet op de rechtspraak niet vanzelfsprekend.³⁴ De toelichting gaat hier niet nader op in.

Voor zover (mede) wordt beoogd om de gegevensverwerking te baseren op de grondslag dat de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting en/of op basis van de grondslag gerechtvaardigd belang,³⁵ dient in de toelichting te worden verhelderd in welke situaties welke van deze grondslagen van toepassing is. Ook hier dient een duidelijke keuze te worden gemaakt. In dat kader dient ook nader te worden onderbouwd op welke wijze de relevante gegevensverwerkingen voldoen aan de vereisten die de toepasselijke grondslagen stellen.

De Afdeling adviseert in de toelichting op het bovenstaande in te gaan en het wetsvoorstel zo nodig aan te passen.

b. Doelbinding en de taakomschrijving van de curator en de (Wsnp-) bewindvoerder

Volgens de toelichting sluit de letterlijke tekst van de Faillissementswet – als gevolg van maatschappelijke en jurisprudentiële ontwikkelingen – niet meer altijd aan bij de daadwerkelijke taak van de curator. Dit zou tot gevolg hebben dat niet altijd duidelijk is wanneer het is toegestaan om gegevens te verwerken. Dit geldt ook voor de bepalingen over de taakuitoefening door de bewindvoerder en Wsnp-bewindvoerder, aldus de toelichting.³⁶ Het voorstel beoogt daarom onduidelijkheid weg te nemen door enerzijds te verwijzen naar de taakomschrijving van respectievelijk de curator, bewindvoerder en Wsnp-bewindvoerder als doeleinde voor gegevensverwerking,³⁷ en anderzijds een niet-limitatieve opsomming te geven van gegevensverwerkingen door deze actoren die noodzakelijk worden geacht voor het verrichten van deze taken.³⁸

De Afdeling heeft begrip voor de wens om de mogelijkheden voor gegevensverwerking te laten aansluiten bij de handelingen die curatoren en bewindvoerders heden ten dage dienen te verrichten om hun taken goed uit te kunnen voeren. Tegelijkertijd dienen persoonsgegevens zoveel mogelijk voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden te worden verzameld en verwerkt (het vereiste van doelbinding).³⁹ Een algemene en open geformuleerde taakomschrijving⁴⁰ (voor de curator wordt bijvoorbeeld gewezen op ‘het beheer en de vereffening van de boedel’) kan hiermee op gespannen voet staan.

De Afdeling constateert dat het voor een betrokkene moeilijk kan zijn om zich een beeld te vormen van taken die als gevolg van maatschappelijke en jurisprudentiële ontwikkelingen moeten worden geacht onderdeel te zijn geworden van in algemene bewoordingen vervatte taakomschrijvingen van curatoren en (Wsnp-) bewindvoerders, zonder dat deze taken in de wet of elders zijn geëxpliciteerd. De niet-limitatieve opsomming van concrete handelingen zorgt weliswaar voor meer zekerheid omtrent de reikwijdte van deze taken, maar laat onverlet dat voor de verwerking van persoonsgegevens die niet onder een van deze handelingen vallen, kan worden teruggevallen op de algemene taakomschrijving.

De Afdeling adviseert in de toelichting op het voorgaande in te gaan en zo nodig de voorgestelde regeling aan te passen.

6. Reikwijdte regeling transactiemonitoring

Zoals hiervoor aan de orde kwam regelt het wetsvoorstel dat een aantal financiële ondernemingen in het kader van het uitvoeren van transactiemonitoring zo nodig ook geautomatiseerd transacties kunnen blokkeren of opschorten als hiervoor aanleiding is en indien aan een aantal voorwaarden wordt voldaan.⁴¹ In dat kader wordt de verplichting tot het uitvoeren van transactiemonitoring nu expliciet in de wet opgenomen. Met dat laatste is geen verandering van de praktijk beoogd; volgens de toelichting is de mogelijkheid om bij de uitvoering van transactiemonitoring transacties geautomatiseerd te blokkeren of op te schorten reeds geregeld in de wet, doordat is bepaald dat bepaalde ondernemingen een integere bedrijfsvoering dienen te voeren.⁴² De toelichting vermeldt dat het met het oog op de uit de AVG voortvloeiende uitvoeringsregels voor de hand ligt om ook de verplichting tot het uitvoeren van transactiemonitoring zelf in de wet op te nemen.

De Afdeling constateert dat het toezicht op de naleving van deze bepaling zal plaatsvinden in het kader van de beoordeling of een bepaalde onderneming werkzaam mag zijn op de financiële markten, en de in dat kader toepasselijke norm een voorwaarde voor het verrichten van diensten betreft.⁴³ Zij merkt op dat als gevolg van het voorstel de wet gaat gelden voor een groep financiële ondernemingen waarvoor momenteel geen verplichting tot transactiemonitoring lijkt te bestaan.⁴⁴ De lijst van ondernemingen in artikel 14, vierde lid, van het Besluit prudentiële regels Wft, waarnaar de toelichting verwijst, is immers beperkter dat de lijst van ondernemingen waarvoor de voorgestelde bepaling zou gaan gelden.⁴⁵ De toelichting gaat hier niet nader op in.

De Afdeling adviseert in de toelichting in te gaan op de uitbreiding van de groep financiële ondernemingen op wie de verplichting tot transactiemonitoring komt te rusten en zo nodig het voorstel aan te passen.

7. Beperking rechten van betrokkene

Op grond van de AVG kunnen uitzonderingen worden gemaakt op de rechten van betrokkene en op de meldplicht bij een inbreuk.⁴⁶ De UAVG vult deze ruimte in, en voorziet erin dat de verwerkingsverantwoordelijke de reikwijdte kan beperken van een aantal in de AVG geregelde verplichtingen en rechten.⁴⁷ Het voorstel wijzigt deze bepaling in de UAVG om daarmee aan te sluiten bij de letterlijke tekst van de AVG. Hiermee kan ook de reikwijdte beperkt worden van de verplichtingen en rechten ‘zoals bedoeld in artikel 5 voor zover de bepalingen van dat artikel overeenkomen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 21 van de AVG’.⁴⁸ Volgens de toelichting wordt uitdrukkelijk niet beoogd om mogelijk te maken dat verwerkingsverantwoordelijken de doelbinding doorbreken op grond van deze bepaling.⁴⁹ Dit blijkt ook uit de tekst van de voorgestelde wijziging, aldus de toelichting.⁵⁰

De voorgestelde wijziging roept de nodige vragen op. Zo blijft onduidelijk van welke in artikel 5 AVG neergelegde beginselen al dan niet kan worden afgeweken en in hoeverre deze beginselen, volgens de nieuwe tekst, ‘overeenkomen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 21 van de AVG’. Dit blijkt niet duidelijk uit de tekst van het voorstel, noch uit de toelichting. De voorgestelde wijzing compliceert daarmee de uitvoering van de bepaling voor zowel de betrokkene als de verwerkingsverantwoordelijke. De Afdeling wijst er daarbij op dat de regering heeft toegezegd om, naar aanleiding van het advies van de AP, nader te bezien of de bepaling mogelijk geschrapt of (fundamenteel) gewijzigd moet worden.⁵¹

Gelet op het voorgaande adviseert de Afdeling vooralsnog af te zien van de voorgestelde wijziging en de voorgestelde bepaling pas te wijzigen na nader onderzoek.

8. Delegatiegrondslag voor commissies en adviescolleges

Het voorstel creëert een delegatiegrondslag voor het regelen van de gegevensverwerking door commissies en adviescolleges.⁵² Daarmee kan in de regeling ter instelling van een commissie of adviescollege worden voorzien in de eisen van de AVG. Deze delegatiegrondslag wordt slechts gebruikt als vanwege het urgente maatschappelijke belang niet kan worden gewacht totdat een formeel wettelijke grondslag is gecreëerd in de vorm van een taak van algemeen belang, en het ook niet in alle gevallen mogelijk zal zijn om de verwerking van de persoonsgegevens door de commissie bijvoorbeeld op de grondslag ‘toestemming’ te baseren of een grondslag te vinden in een van de minister afgeleide taak van algemeen belang, zo vermeldt de toelichting.⁵³

De Afdeling merkt op dat de reikwijdte van deze delegatiegrondslag niet voldoende duidelijk is. Het voorstel spreekt over commissies in de zin van de Wet vergoedingen adviescolleges en commissies, en adviescolleges in de zin van de Kaderwet adviescolleges. Vervolgens beperkt de voorgestelde bepaling zich tot de commissies en adviescolleges die als opdracht hebben ‘om voortvarend onderzoek te doen naar een specifiek en afgebakend onderwerp’. Daarmee lijkt de regeling ten eerste niet van toepassing op commissies die geen onderzoek doen, maar een regeling uitvoeren. Ten tweede zijn er commissies waar de genoemde voortvarendheid minder prominent aan de orde is. Voor dergelijke commissies kan echter een adequate regeling van de gegevensverwerking eveneens van belang zijn.

Het voorgaande hangt samen met de vraag naar de verwerkingsverantwoordelijkheid. De Afdeling merkt op dat noch het wetsvoorstel, noch de toelichting ingaat op de vraag of in de instellingsregeling ook wordt geregeld wie verwerkingsverantwoordelijke zal zijn. Waar in de instellingsregeling een grondslag wordt geregeld, zoals een algemeen belang waarop de commissie of adviescollege zich kan beroepen, zal de verwerkingsverantwoordelijkheid, zo mag worden aangenomen, ook bij deze commissie of adviescollege liggen.⁵⁴

Valt een commissie echter buiten de reikwijdte van de voorgestelde regeling omdat zij strikt genomen geen onderzoek doet naar een specifiek onderwerp, dan zal zij zich moeten baseren op een andere grondslag, zoals toestemming of een van de minister afgeleid algemeen belang. Vanwege de beoogde onafhankelijkheid van commissies is meer duidelijkheid omtrent de verwerkingsverantwoordelijkheid gewenst.

De Afdeling adviseert het wetsvoorstel op deze punten aan te passen.

9. De Afdeling verwijst naar de bij dit advies behorende redactionele bijlage.

De Afdeling advisering van de Raad van State heeft een aantal opmerkingen bij het voorstel en adviseert daarmee rekening te houden voordat het voorstel bij de Tweede Kamer der Staten-Generaal wordt ingediend.


De vice-president van de Raad van State,

Redactionele bijlage bij het advies van de Afdeling advisering van de Raad van State betreffende no.W16.21.0372/II

• Aan het einde van voorgesteld artikel 5, tweede lid, UAVG, toevoegen ‘voor zover het een aangelegenheid betreft waarvoor de betrokkene onbekwaam dan wel onbevoegd is’. Dezelfde zinsnede dient te worden toegevoegd aan voorgesteld artikel 5, derde lid, UAVG;

• In artikel 5, zesde lid, UAVG, na ‘voor zover een bijzondere regeling’ het woord ‘voor’ verwijderen;

• In artikel 33, vijfde lid, UAVG, na ‘indien de verwerking noodzakelijk is voor een door een accountant’ de komma verwijderen;

• In artikel 68a, tweede lid, onderdeel n, Fw, ‘de’ verwijderen in de zinsnede ‘bedoeld in de artikel 140’;

• Aan artikelen 181 en 182, vijfde lid, WVW 1994, en artikel 5, tweede lid, Wahv, toevoegen door wie de persoonsgegevens mogen worden verwerkt;

• In artikel 9, tweede lid, Wet op de rechtsbijstand specificeren welke wettelijke bepaling ‘een overeenkomst met het bestuur ter uitvoering van diens taken’ voorschrijft.

---

1. Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), Pb. EU 2016, L119/1.↩︎

2. Artikel 50 UAVG.↩︎

3. Brief van de Minister voor Rechtsbescherming d.d. 14 december 2021 met in de bijlage het ontwerp wetsvoorstel Verzamelwet gegevensbescherming, met memorie van toelichting, algemeen deel, paragraaf 2.↩︎

4. Handelingen II 2017/18, 59, item 4, p. 18.↩︎

5. Kamerstukken II 2017/18, 34851, nr. 19.↩︎

6. Memorie van toelichting, algemeen deel, paragraaf 1.↩︎

7. Memorie van toelichting, algemeen deel, paragraaf 1.↩︎

8. De verwerking van persoonsgegevens raakt immers aan rechten neergelegd in artikelen 8 EVRM, 7 en 8 Handvest, en 10 van de Grondwet.↩︎

9. Artikel 288, tweede alinea, VWEU.↩︎

10. Advies van de Afdeling advisering van de Raad van State van 10 oktober 2017 over de Uitvoeringswet Algemene verordening gegevensbescherming (W03.17.0166/II), Kamerstukken II 2017/18, 34851, nr. 4, punt 1. Zie voorts D. Comijs, ‘De bescherming van bijzondere persoonsgegevens in de Uitvoeringswet AVG’, NJB 2017, p. 1669; H. Hijmans, ‘De AVG en de UAVG’, NJB 2018, p. 472; H.R. Kranenborg en L.F.M. Verhey, De Algemene Verordening Gegevensbescherming in Europees en Nederlands perspectief, Deventer: Kluwer 2018, p. 7.↩︎

11. Artikel 9, tweede lid, onderdeel g, AVG.↩︎

12. Artikel 9, tweede lid, onderdeel g, AVG.↩︎

13. Artikel 9, tweede lid, AVG.↩︎

14. Zie voorgesteld artikel 23a, 30a, 30b, 47a, tweede lid onder a, en derde lid, UAVG, artikel 68a, derde lid, 215b, derde lid, 316a, derde lid, Fw, artikel 9 Wrb, artikel 57 Wab en artikel 63aa Wta.↩︎

15. Voorgesteld artikel 68a, derde lid, en 316a, derde lid, Fw.↩︎

16. Voorgesteld artikel 33, vijfde lid, en 47a, tweede lid, onder b, UAVG, artikel 68a, derde lid, onderdeel b, 215b, derde lid, onderdeel b, en 316a, derde lid, onderdeel b, Fw, artikel 181, vijfde lid, en 182, vijfde lid, WVW en artikel 5, tweede lid, en artikel 5a en 5b Wahv, en artikel 9 Wrb.↩︎

17. Artikel 10 AVG.↩︎

18. Artikel 9, tweede lid, onder g, AVG.↩︎

19. Het betreft hier enerzijds voorgesteld artikel 181, vijfde lid, en 182, vijfde lid, WVW en artikel 5, tweede lid, en artikel 5a en 5b Wahv, en anderzijds voorgesteld artikel 57 Wab en artikel 63aa Wta.↩︎

20. Voorgesteld artikel 3:17, negende en tiende lid, Wet op het financieel toezicht (hierna: Wft).↩︎

21. Artikel 22, tweede lid, onderdeel b, AVG. In de toelichting wordt hier ook naar verwezen. Zie Memorie van toelichting, artikelsgewijs deel, toelichting bij artikel X.↩︎

22. Voorgesteld artikel 3:17, tiende lid, Wft. Dit in aanvulling op de waarborgen die in het voorgestelde negende lid zijn opgenomen.↩︎

23. Voorgesteld artikel 47a UAVG.↩︎

24. Voorgesteld artikel 47a, tweede lid, UAVG.↩︎

25. Kamerstukken II 2017/18, 34851, nr. 3, algemeen deel, paragraaf 2.4.↩︎

26. Zie enerzijds het voorgestelde artikel 23a, eerste lid, UAVG, en anderzijds de voorgestelde artikelen 57 Wab en 63aa Wta.↩︎

27. Voorgesteld artikel 68a Fw.↩︎

28. Voorgesteld artikel 215b Fw.↩︎

29. Voorgesteld artikel 316a Fw.↩︎

30. Artikel 6, eerste lid, onder e, AVG.↩︎

31. Artikel 6, eerste lid, onderdelen c en f, AVG.↩︎

32. Artikel 6, eerste lid, onder a tot en met e, AVG.↩︎

33. ABRvS 22 september 2021, ECLI:NL:RVS:2021:2129, punt 13.4. Zie voorts HvJEU 30 mei 2013, C-342/12, Worten, ECLI:EU:C:2013:355, punt 36. Zie tot slot Kranenborg en Verhey 2018, p. 154; M. Krzysztofek, Post-Reform Personal Data Protection in the European Union, Alphen a/d Rijn: Kluwer 2017, p. 82.↩︎

34. In HR 17 april 1959, ECLI:NL:HR:1959:129 (Bloemsma) ziet de HR de rol van de curator niet als een staatstaak. Het advies van de AP van 28 augustus 2019 over het voorontwerp voor een Wet overgang van onderneming in faillissement, p. 2, vermeldt dat, gelet op de taak van de curator, naar het oordeel van de AP niet gezegd kan worden dat bij de verstrekking door de curator van persoonsgegevens aan potentiële verkrijgers met het oog op het bepalen van het overnamebod, sprake is van een algemeen belang of openbaar gezag. Gelet op de daarvoor in EHRM 14 januari 2010 (GK), Kotov t. Rusland, nr. 5422/00 ontwikkelde criteria zou een curator echter wellicht kunnen worden aangemerkt als zijnde belast met de uitoefening van openbaar gezag in de zin van het EVRM. In Rb. Zeeland-West-Brabant 5 november 2014, ECLI:NL:RBZWB:2014:9203, punt 3.58 wordt het antwoord op deze vraag in het midden gelaten. Voor een overzicht van de discussie in de literatuur zie G.J. Zwenne en G.J. van Vlijmen, ‘Drie vragen over de toepassing van de AVG in faillissementen’, Privacy & Informatie 2021, p. 17. Voor aanwijzing van de curator als taak van algemeen belang, zie M.D. Reijneveld, ‘De verwerking van persoonsgegevens door de faillissementscurator bij de uitoefening van zijn taak’, Nederlands tijdschrift voor burgerlijk recht 2021, p. 93. Voor aanwijzing van de curator als staatstaak, zie de annotatie van J.C. van Apeldoorn bij Kotov t. Rusland in Tijdschrift voor Insolventierecht 2012/24 en J.C. van Apeldoorn, Insolventieprocedures en grondrechten, Den Haag: BJu 2009, p. 285-287 en 290-297. Hierbij dient echter in het oog te worden gehouden dat, ten eerste, een deel van deze discussie betrekking heeft op de terminologie in het EVRM in plaats van die in de AVG. Ten tweede zou moeten worden bezien of de curator, bewindvoerder en Wsnp-bewindvoerder, voor het antwoord op de vraag of sprake is van de uitoefening van een taak van algemeen belang of de uitoefening van openbaar gezag, zich in een vergelijkbare positie bevinden.↩︎

35. Artikel 6, eerste lid, onderdelen c en f, AVG.↩︎

36. Memorie van toelichting, artikelsgewijs deel, artikel II. Zie ook de consultatiereactie van INSOLAD, brief van 10 juli 2020, p. 6.↩︎

37. Voorgesteld artikel 68a, eerste lid, 215b, eerste lid, en 316a, eerste lid, Fw. Er wordt verwezen naar de taken in artikelen 68, 215 en 316 Fw.↩︎

38. Zie het tweede lid van voorgestelde artikelen 68a, 215b en 316a, Fw.↩︎

39. Artikel 5, eerste lid, onder b, AVG.↩︎

40. Zie tevens F.M.J. Verstijlen, ‘De curator en de AVG’, Tijdschrift voor Insolventierecht 2018, p. 323, waar wordt gewezen op het onbepaalde karakter van beheer en vereffening. Zie voorts Zwenne en Van Vlijmen 2021, p. 23; Reijneveld 2021, p. 96.↩︎

41. Voorgesteld artikel 3:17, negende en tiende lid, Wet op het financieel toezicht (hierna: Wft).↩︎

42. Memorie van toelichting, artikelsgewijs deel, toelichting bij artikel X.↩︎

43. Voorgesteld artikel wijzigt het Deel Prudentieel Toezicht Financiële Ondernemingen van de Wft.↩︎

44. Vergelijk bijvoorbeeld § 3.3.3.1 en § 3.3.3.1a Wft, maar ook 3:17 en 4:15 Wft.↩︎

45. Vergelijk de opsomming van financiële ondernemingen in artikel 3:17, eerste lid, Wft met de opsomming in artikel 14, vierde lid, Besluit prudentiële regels Wft.↩︎

46. Artikel 23 AVG.↩︎

47. Artikel 41 UAVG.↩︎

48. Voorgesteld artikel 41, eerste lid, UAVG.↩︎

49. Wel kan van de doelbinding worden afgeweken op grond van artikel 6, vierde lid, AVG.↩︎

50. Memorie van toelichting, artikelsgewijze toelichting, artikel I, onderdeel P: de tekst van de bepaling (voor zover de bepalingen overeenkomen met de genoemde rechten en verplichtingen) zou dit niet mogelijk maken.↩︎

51. Memorie van toelichting, paragraaf 3.2. De Autoriteit Persoonsgegevens (AP) adviseerde om de bepaling in zijn geheel te schrappen en te vervangen voor specifieke grondslagen in de UAVG of in sectorwetgeving, omdat de bepaling niet zou voldoen aan de vereisten van de AVG. Zo bepaalt de AVG dat de reikwijdte van de verplichtingen en rechten kunnen worden beperkt door middel van een Unierechtelijke of lidstaatrechtelijke wetgevingsmaatregel die op de verwerkingsverantwoordelijke of de verwerker van toepassing zijn. Volgens de AP is het daarom onjuist om de afweging tot beperking bij de verwerkingsverantwoordelijke te beleggen, zoals in de UAVG gebeurt, in plaats dat deze afweging door de wetgever zelf wordt gemaakt. Bovendien vindt de AP de vangnetbepaling ook te ruim. De regering acht het echter onwenselijk de bepaling in zijn geheel te schrappen, omdat de gevolgen daarvan op dit moment onvoldoende zijn te overzien.↩︎

52. Voorgesteld artikel 47a UAVG.↩︎

53. Memorie van toelichting, artikelsgewijs deel, toelichting bij artikel I, onderdeel T.↩︎

54. Zie hier ook EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, adopted 2 September 2020, punt 22.↩︎