Komende donderdag 9 februari wordt het wetsvoorstel voor de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) besproken in de Tweede Kamer. Minister Weerwind heeft namens het kabinet heeft een update voorgesteld. De UAVG mist op dit moment op bepaalde punten verduidelijking, sommige verwijzingen zijn verouderd en de rechter heeft zich uitgesproken tegen de strekking van een enkele bepaling. Kortom, er zijn updates verzameld in de bijna 5 jaar dat de wet nu van kracht is. Er is onder andere advies ingewonnen bij de Autoriteit Persoonsgegevens, werkgeversorganisaties en de Vereniging van Nederlandse Gemeenten. In deze blog zet ik de meest in het oog springende wijzigingen uiteen.

Wat is de UAVG?

Op 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden binnen de Europese Economische Ruimte (EER). Op sommige punten biedt deze wet ruimte om nadere invulling te geven aan sommige open normen. In Nederland is dit gedaan door middel van de UAVG. De UAVG wet regelt onder andere het bestaan en de positie van de Autoriteit Persoonsgegevens en geeft nadere invulling aan normen ten aanzien van gebruik van bijzondere persoonsgegevens.

Welke wijzigingen vinden plaats in het wetsvoorstel?

1. Jongeren tussen 12 en 16 krijgen meer rechten

Nu is het in Nederland mogen jongeren vanaf 16 jaar zelf toestemming geven voor de verwerking van hun gegevens. Daaronder moet de ouder toestemming geven, als het bijvoorbeeld gaat online diensten als websites en apps. Enkel de ouders die toestemming voor bijvoorbeeld onlinediensten weer kunnen intrekken. In het wetsvoorstel mogen jongeren deze rechten nu ook gaan uitoefenen vanaf 12 jaar. Bijzonder in het wetsvoorstel is dat de jongere de gegeven toestemming kan intrekken en dat de ouders deze toestemming weer kunnen geven. Vervolgens is het dan aan de verwerkingsverantwoordelijke om te bepalen wat daarmee gebeurt. Zij moet hierbij de wens van de minderjarige zwaar meewegen.

Wat betreft verwerkingen van medische gegevens staat hier nog wel een strengere toets tegenover. Tenzij de Wet op de geneeskundige behandelingsovereenkomst zich hiertegen verzet, kunnen jongeren van 12 tot 16 jaar deze rechten van betrokkenen ook gaan uitoefenen.

2. Strafrechtelijke verwerking

Op dit moment worden persoonsgegevens die nu als strafrechtelijke gegevens worden benoemd binnen de UAVG te ruim uitgelegd volgens een uitspraak van het Gerechtshof Den Haag. Een door een rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag, zoals een contactverbod, zijn namelijk geen strafrechtelijke persoonsgegevens. De opstellers van het wetsvoorstel kunnen zich vinden in deze opvatting. Deze definitie wordt dus smaller uitgelegd in het nieuwe wetsvoostel.

3. Gebruik bijzondere persoonsgegevens wordt ruimer toegestaan

Volgens de AVG mogen bijzondere persoonsgegevens niet worden verwerkt, tenzij een uitzonderingsgrond van toepassing is. Tot nu toe was zo’n uitzonderingsgrond er niet voor accountants, bij de uitvoering van wettelijke taken. Het wetsvoorstel brengt daar verandering in: als het noodzakelijk is voor de uitvoering van een wettelijk verplichte controle, mag een accountant bijzondere persoonsgegevens verwerken.

Naast accountants wordt ook het werk van curatoren eenvoudiger gemaakt, doordat expliciet wordt toegevoegd aan de Faillissementswet dat zij bijzondere persoonsgegevens, strafrechtelijke persoonsgegevens en het BSN mogen verwerken als dat noodzakelijk is.

4. Gebruik biometrische gegevens

De UAVG wordt in het wetsvoorstel aangepast met betrekking tot de uitzondering op het verbod om biometrische gegevens te verwerken met het oog op de unieke identificatie van een persoon indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Deze doelbeperking is in het wetsvoorstel expliciet gemaakt. Zo wordt het gebruik van biometrische gegevens toegestaan om de rechtmatige toegang tot bepaalde plaatsen, gebouwen, diensten, producten, informatiesystemen of werkprocessystemen te verkrijgen.

Verdere stroomlijning met andere wetgeving

In het wetsvoorstel worden verder bepalingen aangepast in bijvoorbeeld de Faillissementswet, Wegenverkeerswet 1994, de Wet administratiefrechtelijke verkeershandhaving, de Wet op de rechtsbijstand (Wrb) en de Wet op het financieel toezicht (Wft). Deze zullen echter inhoudelijk minimaal wijzigen.

Verder proces voor totstandkoming wetgeving UAVG

Zoals eerder genoemd, vindt de bespreking van deze wetswijziging in de Tweede Kamer plaats op 9 februari. Mochten zij na bespreking akkoord gaan dan zal dit voorstel naar de Eerste Kamer gestuurd worden. Wij blijven deze voorgestelde wetswijziging met aandacht volgen.

Vragen?

Heb je nog vragen naar aanleiding van deze blog? Neem dan vrijblijvend contact met ons op om over dit onderwerp te sparren. Wij zijn bereikbaar per e-mail op info@lumengroup.nl of via telefoonnummer 030 – 889 65 75.

Op 23 maart 2018 ondertekende President Trump de ’Clarifying Overseas Use of Data act’ (CLOUD-Act). Het gevolg van de CLOUD-Act is dat een Europese (cloud service)provider of communicatiedienstverlener (hierna: Europese provider) moet voldoen aan een verzoek van de Amerikaanse overheid om gegevens over te dragen, zelfs als deze gegevens zich buiten de VS bevinden. In dit blog behandelen we kort de inhoud en de gevolgen van de CLOUD-Act.

Wat is de CLOUD-Act?
De CLOUD-Act is een federale wet van de Verenigde Staten die in feite neerkomt op een uitbreiding van de huidige Amerikaanse dataretentiewet, de zogenoemde ‘Stored Communications Act’ uit 1986. De CLOUD-Act geeft de Amerikaanse overheid de bevoegdheid om via een bevelschrift of dagvaarding providers te dwingen persoonsgegevens over te dragen, ongeacht waar deze persoonsgegevens zich bevinden. Daarnaast maakt de CLOUD-act het ook mogelijk om bilaterale afspraken te maken tussen de VS en andere landen om persoonsgegevens uit te wisselen in het kader van opsporing.

De CLOUD-Act is geïntroduceerd nadat de FBI problemen ondervond bij het verkrijgen van persoonsgegevens vanuit Ierland. In deze zaak weigerde Microsoft persoonsgegevens over te dragen in een strafzaak. Destijds maakte de dataretentiewet het niet mogelijk om persoonsgegevens die zich buiten de VS  bevinden op te vragen. Door de inwerkingtreding van de CLOUD-Act is dat onder bepaalde omstandigheden nu wel mogelijk.

‘’A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such providers possession, custody, or control, regardless of whether such communication, record or other information is located within or outside of the United States’’

Voor wie is de CLOUD-Act van belang?
De CLOUD-Act heeft extraterritoriale werking. Dit houdt in dat de Amerikaanse overheid zich de bevoegdheid toeschrijft om gegevens op te vragen buiten haar eigen territoriale grondgebied. Dit geldt onder bepaalde omstandigheden dus ook voor Europese providers. Uit een onderzoek van GreenbergTraurig dat zij voor het Nationaal Cyber Security Centrum (NCSC) uitvoerde blijkt dat een Europese provider in twee gevallen niet aan een verzoek van de Amerikaanse overheid hoeft te voldoen. Allereerst hoeven Europese providers niet te voldoen aan verzoek op grond van de CLOUD-Act als deze geen enkele zakelijke relatie of contacten heeft met een bedrijf die actief is in de VS. Ten tweede zijn providers uitgesloten waarbij geen enkel Amerikaans bedrijf toegang, bezit of controle heeft over de opgeslagen persoonsgegevens in Europa. Europese providers waarvan het moederbedrijf Amerikaans is, vallen echter altijd onder de CLOUD-Act. Dit komt omdat niet kan worden uitgesloten dat dit moederbedrijf toegang tot de gegevens heeft.

Wat zijn de vereisten van een informatieverzoek op grond van de CLOUD-Act?
Een informatieverzoek op grond van de CLOUD-Act hangt af van verschillende factoren. Ten eerste moet er sprake zijn ‘probable cause’. Dit houdt in dat er een verwachting is dat de opgevraagde persoonsgegevens bewijs opleveren in een onderliggende strafzaak. Ten tweede moet de Amerikaanse overheid aantonen dat de Europese provider continue en systematische aanwezigheid in de VS had of dat de Europese provider ‘minimum contacts’ had met bedrijven uit de VS. Tot slot moeten de persoonsgegevens wel in bezit of controle van de Europese provider zijn.

De vraag of een Europese provider ‘minimum contacts’ of banden met de VS heeft kan worden ontleed in drie onderdelen. Allereerst moet onderzocht worden of het verzoek direct verband houdt met activiteiten in de VS. Daarnaast moet worden nagegaan of de Europese provider redelijkerwijs mocht verwachten dat haar Amerikaanse contacten voor een Amerikaanse rechter kon worden opgeroepen voor de activiteiten die zij uitvoeren in de VS. Tot slot moet de Amerikaanse overheid nagaan of de uitoefening van haar jurisdictie redelijk is.

Kan een Europese provider een verzoek van de Amerikaanse overheid aanvechten? 
Voor de ontvanger van een informatieverzoek is het moeilijk om een verzoek op grond van de CLOUD-Act aan te vechten, ondanks dat de CLOUD-Act wel deze mogelijkheid biedt. Uit de CLOUD-Act volgt dat een bezwaar van een provider aan twee cumulatieve vereisten moet voldoen. Allereerst moeten zij aantonen dat de gegevens niet van een Amerikaanse staatsburger zijn. Vervolgens moet de Europese provider aantonen dat toezegging aan het verzoek materiële schade oplevert en er een wet wordt overtreden van een ‘Qualifying Foreign Government’. Ten slotte is alleen de Amerikaanse rechter bevoegd om de rechtmatigheid van een verzoek op grond van de CLOUD-Act te beoordelen.

De eis dat er een wet van een ‘Qualifying Foreign Government’ moet worden overtreden maakt het voor Europese providers momenteel onmogelijk om een informatieverzoek van de Amerikaanse overheid aan te vechten. Dit komt omdat de Amerikaanse overheid momenteel nog geen enkel land als ‘Qualifying Foreign Government’ bestempeld.

Heb je nog vragen naar aanleiding van dit blog? Neem dan vrijblijvend contact met ons op om over dit onderwerp te sparren. Wij zijn bereikbaar per e-mail op info@lumengroup.nl of via telefoonnummer 030 – 889 65 75. Wil je meer lezen over dit onderwerp, lees dan het artikel van het NCSC.