Wat brengt 2021 op privacygebied?

Nu de kerstbomen weer aan de straat zijn gezet en de lockdown nog even voortduurt, is het tijd om vooruit te blikken op een aantal ontwikkelingen die op privacygebied in 2021 te verwachten zijn.

Gerechtvaardigd belang: standpunt van de AP gerechtvaardigd?

De media buitelden in november over elkaar heen toen de Rechtbank Midden-Nederland uitspraak deed in de zaak VoetbalTV. Wat was er ook alweer aan de hand? VoetbalTV bood een online platform aan voor amateurvoetbalclubs. Per maand werden ongeveer 2500 tot 3000 wedstrijden, van zowel volwassenen als kinderen, opgenomen en uitgezonden. VoetbalTV baseerde zich voor het maken van de opnamen op de grondslag ‘gerechtvaardigd belang’ ex art. 6 lid 1 aanhef en onder f AVG.

De Autoriteit Persoonsgegevens (AP) was het hier niet mee eens: VoetbalTV had volgens de AP enkel een commercieel belang. Een dergelijk belang kan, zoals in haar normuitleg over het gerechtvaardigd belang benoemd, volgens de AP niet kwalificeren als een gerechtvaardigd belang. Nu VoetbalTV geen verwerkingsgrondslag had, legde de AP een boete van EUR 575.000,- op. De rechter haalde een streep door deze boete.

In lijn met de Europese jurisprudentie is er volgens de rechter namelijk geen type belang dat per se uitgesloten is. Een scala van belangen kan onder de notie ‘gerechtvaardigd belang’ vallen en het staat lidstaten niet vrij om een beroep op het gerechtvaardigd belang voor bepaalde verwerkingen op voorhand of categorisch uit te sluiten. Het besluit was onzorgvuldig door de AP genomen en de boete ging van tafel. Inmiddels heeft de AP hoger beroep ingesteld.

De uitkomst van dit hoger beroep is ook interessant in het licht van de boete van EUR 525.000,- die de AP aan de KNLTB heeft opgelegd wegens het onrechtmatig delen van persoonsgegevens uit de ledenadministratie met een tweetal sponsoren. Ook in deze zaak speelde namelijk de discussie over de uitleg van de grondslag ‘gerechtvaardigd belang’.

Ondertussen kijken we ook vol spanning uit naar de nieuwe Europese richtsnoeren over het ‘gerechtvaardigd belang’, waaraan door de European Data Protection Board (EDPB) wordt gewerkt.

Verwerkersovereenkomst: eindelijk een echte standaard?

Het afsluiten van verwerkersovereenkomsten blijkt in de praktijk niet altijd eenvoudig. Elke partij heeft wel een eigen standaardverwerkersovereenkomst en steeds worden dezelfde discussies gevoerd.

Daarnaast laat de kwaliteit van verwerkersovereenkomsten nog wel eens te wensen over. Al langer bestaat daarom de wens om tot een Europese model-verwerkersovereenkomst te komen, hetgeen op grond van art. 28 lid 7 AVG mogelijk is. De Europese Commissie heeft daarom op 12 november een concept-modelverwerkersovereenkomst gepubliceerd die tot 10 december 2020 openstond voor consultatie. Nu maar hopen dat de definitieve versie snel het levenslicht ziet.

Doorgifte: nieuwe modelcontracten en gevolgen Brexit

En er komen nog meer nieuwe contracten aan. Recentelijk heeft de Europese Commissie vier concept-modelcontracten gepubliceerd ter vervanging van de huidige modelcontracten die nog op de Privacyrichtlijn zijn gebaseerd. Nieuw is dat naast een modelcontract voor de doorgifte van persoonsgegevens van een verwerkingsverantwoordelijke naar een verwerker en een modelcontract voor de doorgifte van persoonsgegevens van een verwerkingsverantwoordelijke naar een andere verwerkingsverantwoordelijke, nog twee concept-modelcontracten zijn opgesteld.

Er is een modelcontract voor de doorgifte van persoonsgegevens van een verwerker naar een verwerker en voor de doorgifte van persoonsgegevens van een verwerker naar een verwerkingsverantwoordelijke. De consultatie voor deze concept-modelcontracten is op 10 december 2020 gesloten. Ben je straks dan ‘klaar’ met de privacyrechtelijke formaliteiten die bij doorgifte spelen? 

Niet helemaal. Zowel bij het gebruik van de modelcontracten als bij andere doorgifte-instrumenten (dus ook wanneer er een adequaatheidsbesluit is genomen!) dient daarnaast steeds bezien te worden of er additionele maatregelen moeten worden genomen om de naleving van het EU-niveau van bescherming van persoonsgegevens te waarborgen. De EDPB heeft concept-aanbevelingen voor deze transfer impact assessment, waaronder een stappenplan, gepubliceerd. De consultatie van deze aanbevelingen is op 21 december 2020 gesloten en in 2021 wordt de definitieve versie verwacht.

Brexit

In de Brexit-deal is overeengekomen (zie art. FINPROV.10A van de EU-UK Trade and Cooperation Agreement) dat tot 1 mei 2021 persoonsgegevens zonder additionele formaliteiten kunnen worden doorgegeven aan het Verenigd Koninkrijk mits het Verenigd Koninkrijk de huidige regels aangaande de bescherming van persoonsgegevens niet wijzigt. Deze periode kan eventueel worden verlengd tot 1 juli 2021. Ondertussen wordt door de Europese Commissie bezien of ten aanzien van het Verenigd Koninkrijk een adequaatheidsbesluit kan worden genomen.

En nog zoveel meer!

2021 belooft dus een interessant privacyjaar te worden en er speelt nog zoveel meer! Kan men bijvoorbeeld op Europees niveau eindelijk overeenstemming bereiken over de ePrivacyverordening (het laatste voorstel dateert van 5 januari jl.)?

Wordt het concept-wetsvoorstel voor de Verzamelwet gegevensbescherming in 2021 aanhangig gemaakt in de Tweede Kamer? En welke gevolgen zal de eerste evaluatie van de Uitvoeringswet AVG (UAVG), die ex art. 50 UAVG op 25 mei 2021 moet zijn afgerond, hebben?

Ook over de Wet gegevensverwerking door samenwerkingsverbanden, kort gezegd bedoeld om een juridische basis te creëren voor de uitwisseling van persoonsgegevens tussen private en publieke organisaties om bijv. ondermijning tegen te gaan, is het laatste woord zeker nog niet gezegd. Maatschappelijk is er veel verzet, onder meer vanuit de FNV, tegen deze wet die ook wel wordt aangeduid als ‘Super SyRI’. Nadat het wetsvoorstel in december door de Tweede Kamer is aangenomen, loopt de behandeling in de Eerste Kamer direct vertraging op omdat daar besloten is om eerst additioneel advies bij de Raad van State en de AP te vragen wegens amendering van het wetsvoorstel.