Brubru
EU beleidsintelligentie
Verordening (EU) 2016/679, van toepassing vanaf 25 mei 2018, is het primaire raamwerk van de EU voor de bescherming van persoonsgegevens. Het verving de Richtlijn gegevensbescherming van 1995, breidde de EU-regels voor gegevensbescherming uit naar de hele wereld wanneer EU-ingezetenen als doel gelden, en stelde boetes in ter hoogte van tot 4% van de wereldwijde jaarlijkse omzet.
de primaire wet van de EU ter bescherming van het grondrecht op bescherming van persoonsgegevens
De Algemene verordening gegevensbescherming (AVG), Verordening (EU) 2016/679, is het raamwerkwetboek van de Europese Unie dat de verzameling, opslag, gebruik en overdracht van persoonsgegevens over natuurlijke personen regelt. Het vervangt Richtlijn 95/46/EG van 1995 en is rechtstreeks van toepassing in alle 27 lidstaten zonder nationale implementatiewetgeving.
De AVG heeft twee doelstellingen: het beschermen van het grondrecht van natuurlijke personen op bescherming van hun persoonsgegevens (artikel 1, lid 2) en het garanderen dat het vrije verkeer van persoonsgegevens binnen de Unie niet wordt beperkt of verboden om redenen van gegevensbescherming (artikel 1, lid 3). Deze twee doelen weerspiegelen de positie van de AVG op het kruispunt van grondrechten en de interne markt.
De verordening berust op artikel 16 VWEU, dat het Europees Parlement en de Raad ertoe verplicht regels vast te stellen voor de bescherming van persoonsgegevens. Het is ook gebaseerd op artikel 7 en 8 van het Handvest van de grondrechten van de Europese Unie, die respectievelijk het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens waarborgen.
De Richtlijn gegevensbescherming van 1995 werd aangenomen voordat het internet een massamarktverschijnsel werd. In de jaren 2010 hadden gefragmenteerde nationale implementaties geleid tot 28 verschillende regelgevingsraamwerken in de hele EU, wat juridische onzekerheid voor bedrijven, inconsistente bescherming voor personen en een handhavingslandschap opleverde waar gegevensintensieve Amerikaanse technologiebedrijven in de EU konden werken met weinig effectieve verantwoording.
Het voorstel van de Commissie van januari 2012 beoogde deze fragmentatie op te heffen. Er volgde vier jaar wetgevingsproces, gedreven door het verzet van het Europees Parlement voor sterkere rechten van personen en strengere handhaving. De AVG werd formeel aangenomen op 27 april 2016, trad in werking op 24 mei 2016 en was van toepassing vanaf 25 mei 2018 na een transitieperiode van twee jaar. Richtlijn 95/46/EG werd tegelijkertijd ingetrokken.
De AVG bestaat uit 99 artikelen verdeeld over 11 hoofdstukken, voorafgegaan door 173 overwegingen die de wetgevingsopzet toelichten en interpretatiehulp bieden:
materieel toepassingsbereik (artikel 2) en territoriaal toepassingsbereik (artikel 3): wereldwijde reikwijdte voor EU-betrokkenen
De AVG is van toepassing op de verwerking van persoonsgegevens geheel of gedeeltelijk met geautomatiseerde middelen, en op niet-geautomatiseerde verwerking waar de gegevens geheel of gedeeltelijk deel uitmaken van, of bestemd zijn uit te maken van, een georganiseerd bestand. Dit bestrijkt vrijwel alle digitale gegevensverwerking, evenals gestructureerde handmatige registraties.
Het is niet van toepassing op: activiteiten buiten het Unierecht (bijv. nationale veiligheid); GBVB-activiteiten van lidstaten; zuiver persoonlijke of huishoudelijke activiteiten door natuurlijke personen; en verwerking door bevoegde autoriteiten voor doeleinden van het strafrecht, wat onder Richtlijn (EU) 2016/680 valt.
Een bedrijf gevestigd in Californie, Canada, India of Brazilie dat producten of diensten aan EU-consumenten verkoopt, of dat het gedrag van EU-gebruikers online bewaakt, is onderworpen aan de volledige AVG. Het moet een EU-vertegenwoordiger aanwijzen (art 27), voldoen aan alle rechten van betrokkenen, en is blootgesteld aan handhaving door EU-toezichthouders en boetes. Dit is waarom de AVG een mondiale feitelijke norm is geworden: multinationals vinden het eenvoudiger AVG-regels wereldwijd toe te passen dan aparte nalevingspaden te onderhouden.
Artikel 5: de fundamentele vereisten die alle verwerking van persoonsgegevens bepalen
Artikel 5 stelt zeven principes vast die op alle verwerking van persoonsgegevens van toepassing zijn. Schending van deze principes leidt tot de hoogste boeteschaal (tot EUR 20 miljoen of 4% van de wereldwijde omzet). Het zevende principe, verantwoording, vergt van verwerkingsverantwoordelijken niet alleen naleving maar ook het vermogen aan te tonen dat zij voldoen.
| Principe | Wat het in de praktijk betekent | Sleutelartikel |
|---|---|---|
| Wettigheid, billijkheid en transparantie | Er moet een juridische grondslag voor verwerking zijn (een van de zes in art 6). Verwerking mag niet misleidend zijn. Betrokkenen moeten worden geïnformeerd. | Art 5(1)(a), 6, 13-14 |
| Doelbinding | Gegevens mogen alleen voor vastgestelde, expliciete en legitieme doelen worden verzameld. Verdere verwerking moet verenigbaar zijn met die doelen. Onderzoek, archivering en statistieken kunnen verenigbaar zijn op grond van art 89. | Art 5(1)(b) |
| Gegevensminimalisatie | Alleen gegevens die adequaat, relevant en noodzakelijk zijn voor de doelen mogen worden verwerkt. Meer gegevens dan nodig kunnen niet ter voorzorg worden verzameld. | Art 5(1)(c) |
| Juistheid | Gegevens moeten juist zijn en zo nodig up-to-date worden gehouden. Onjuiste gegevens moeten onverwijld worden gewist of gecorrigeerd, met inachtneming van de doelen waarvoor zij worden verwerkt. | Art 5(1)(d) |
| Opslagbeperking | Gegevens moeten in een vorm die identificatie van betrokkenen mogelijk maakt niet langer worden bewaard dan noodzakelijk. Verwerkingsverantwoordelijken moeten bewaartermijnen bepalen en documenteren. Archivering, onderzoek en statistieken zijn uitzonderingen onder art 89 voorwaarden. | Art 5(1)(e) |
| Integriteit en vertrouwelijkheid | Passende technische en organisatorische maatregelen moeten gegevens beschermen tegen onbevoegde of onwettige verwerking, en tegen onopzettelijk verlies, vernietiging of beschadiging. | Art 5(1)(f), 32 |
| Verantwoording | De verwerkingsverantwoordelijke is aansprakelijk en moet kunnen aantonen dat hij/zij aan alle bovengenoemde principes voldoet. Passieve naleving is onvoldoende: bewijzen moeten bestaan. Dit principe ondersteunt de hele AVG-documentatiearchitectuur (registers, DPIA's, beleidsregels, trainingslogboeken). | Art 5(2), Art 24 |
Artikel 6: een van deze zes moet van toepassing zijn voordat persoonsgegevens worden verwerkt
Een veel voorkomend misverstand is dat toestemming altijd vereist is om persoonsgegevens te verwerken. In feite zijn er zes alternatieve juridische grondslagen. Een verwerkingsverantwoordelijke moet van tevoren de juiste grondslag bepalen en kan niet achteraf tussen hen wisselen. Voor bijzondere categorieën persoonsgegevens (gezondheid, genetisch, biometrisch, ras/etniciteit, politiek, religie, vakbondslidmaatschap, seksueel leven) moeten ook de aanvullende voorwaarden van artikel 9 worden nagekomen.
De betrokkene heeft vrijelijk gegeven, specifieke, geïnformeerde en ondubbelzinnige toestemming verleend. Dit moet even gemakkelijk in te trekken als te geven zijn. Vooraf aangevinkte vakjes, stilzwijgen en passiviteit vormen geen toestemming. Kinderen onder 16 jaar (of een lagere leeftijd tot 13 jaar vastgesteld door lidstaatrecht) hebben ouderlijke toestemming nodig voor onlinediensten.
Art 6(1)(a), 7, 8
Verwerking is nodig voor de uitvoering van een contract met de betrokkene of voor stappen voorafgaand aan het contract op verzoek van de betrokkene. Bijvoorbeeld: een bezorgbedrijf verwerkt het adres van een klant om een bestelling af te leveren.
Art 6(1)(b)
Verwerking is nodig om te voldoen aan een wettelijke verplichting waaraan de verwerkingsverantwoordelijke onderworpen is. Bijvoorbeeld: een werkgever die loongegevens verwerkt om aan belastingwetten te voldoen, of een bank die transacties bijhoudt onder regelgeving tegen witwassen.
Art 6(1)(c)
Verwerking is nodig om vitale belangen van de betrokkene of een ander persoon te beschermen, zoals in noodsituaties in medische zaken. Deze grondslag geldt alleen wanneer de betrokkene fysiek of juridisch niet in staat is toestemming te geven en geen ander juridisch grondslag beschikbaar is.
Art 6(1)(d)
Verwerking is nodig voor het vervullen van een taak van openbaar belang of voor het uitoefenen van ambtelijke bevoegdheden aan de verwerkingsverantwoordelijke. Dit is de primaire juridische grondslag voor verwerking door overheidsorganen, regelgevers, rechtbanken en openbare diensten.
Art 6(1)(e)
Verwerking is nodig voor gerechtvaardigd belang van de verwerkingsverantwoordelijke of een derde, mits dat belang niet wordt opgewogen door de belangen, rechten en vrijheden van de betrokkene. Niet beschikbaar voor openbare autoriteiten die hun openbare taken vervullen. Vereist een driedelig afwegingenproces: doeltoets, noodzakelijkheidstoets, afwegingstoets.
Art 6(1)(f)
Voor persoonsgegevens die bijzonder gevoelig van aard zijn, zoals gezondheidsgegevens, genetische gegevens, biometrische gegevens voor unieke identificatie, ras- of etnische origine, politieke opvattingen, religieuze of filosofische overtuigingen, vakbondslidmaatschap, of gegevens over seksueel leven of seksuele geaardheid, geldt een algemeen verwerkingsverbod. Om dit verbod op te heffen, moet niet alleen een juridische grondslag in artikel 6 van toepassing zijn, maar moet ook een van de tien specifieke voorwaarden in artikel 9(2) worden vervuld. De meest voorkomende in de praktijk zijn expliciete toestemming (art 9(2)(a)), arbeids- en socialezekerheidswet (art 9(2)(b)), vitale belangen waar de betrokkene niet kan toestemmen (art 9(2)(c)), en preventieve geneeskunde of arbeidsgezondheid (art 9(2)(h)).
Hoofdstuk III, artikelen 12-23: acht afdwingbare rechten die je tegen elke verwerkingsverantwoordelijke kunt uitoefenen
Verwerkingsverantwoordelijken moeten binnen een maand na ontvangst van een verzoek van een betrokkene kosteloos reageren. De termijn kan met twee maanden worden verlengd wanneer verzoeken complex of talrijk zijn, maar de verwerkingsverantwoordelijke moet je van de verlenging op de hoogte stellen binnen de eerste maand. Wanneer verzoeken kennelijk ongegrond of excessief zijn, kan de verwerkingsverantwoordelijke een redelijke vergoeding vragen of weigeren actie te ondernemen, maar moet hij/zij bewijzen dat dit het geval is. De verwerkingsverantwoordelijke moet ook een kopie van persoonsgegevens die worden verwerkt verstrekken in reactie op een toegangsverzoek.
| Recht | Artikel | Wat je kunt vragen | Voornaamste beperkingen |
|---|---|---|---|
| Recht van toegang | Art 15 | Bevestiging dat gegevens worden verwerkt; een kopie van de gegevens; informatie over doelen, ontvangers, bewaartermijn, geautomatiseerde beslissingen, bron (indien indirect). | Rechten van anderen (handelsgeheimen, gegevens van derden) kunnen de verstrekte kopie beperken. |
| Recht op rectificatie | Art 16 | Correctie van onjuiste gegevens; aanvulling van onvolledige gegevens (ook via aanvullende verklaring). | De verwerkingsverantwoordelijke moet ontvangers van enige rectificatie op de hoogte stellen (Art 19). |
| Recht op wissing | Art 17 | Wissing waar: gegevens niet meer nodig zijn; toestemming is ingetrokken en geen ander rechtsgrondslag; gegevens onwettig worden verwerkt; wettelijke verplichting vereist wissing; gegevens verzameld via onlinediensten van kinderen. | Geldt niet waar verwerking nodig is voor: vrijheid van meningsuiting; wettelijke verplichting; volksgezondheid; archivering/onderzoek/statistieken; rechtszaken. |
| Recht op beperking | Art 18 | Stop alle verwerking (behalve opslag) terwijl: juistheid wordt betwist; verwerking onwettig is maar je verkiest beperking boven wissing; gegevens nodig zijn voor je rechtszaken maar niet voor de verwerkingsverantwoordelijke; je hebt bezwaar gemaakt en de verwerkingsverantwoordelijke verifieert zijn gronden. | De verwerkingsverantwoordelijke moet je op de hoogte stellen voordat een beperking wordt opgeheven. |
| Recht op gegevensportabiliteit | Art 20 | Ontvang gegevens die je hebt verstrekt in een gestructureerde, algemeen gebruikte, machineleesbare indeling. Verzoek om rechtstreekse overdracht van verwerkingsverantwoordelijke naar verwerkingsverantwoordelijke waar technisch haalbaar. | Geldt alleen waar verwerking gebaseerd is op toestemming of contract en wordt uitgevoerd met geautomatiseerde middelen. Geldt niet voor verwerking op grond van openbare taak of wettelijke verplichting. |
| Recht om bezwaar te maken | Art 21 | Op elk moment bezwaar maken tegen verwerking op grond van openbare taak (art 6(1)(e)) of gerechtvaardigd belang (art 6(1)(f)), inclusief profilering. Absoluut recht om bezwaar te maken tegen verwerking voor direct marketing (geen uitsluiting mogelijk). | Voor niet-marketing-bezwaren kan de verwerkingsverantwoordelijke doorgaan als hij/zij dringende gerechtvaardigd belangen kan aantonen die je belangen opwegen. |
| Geautomatiseerde besluitvorming | Art 22 | Niet onderworpen zijn aan een besluit dat uitsluitend op geautomatiseerde verwerking (inclusief profilering) is gebaseerd en rechtsgevolgen heeft of je op vergelijkbare manier significant treft. Recht op menselijke beoordeling, om je mening uit te spreken en het besluit aan te vechten. | Uitzonderingen: nodig voor contract met je; geauthoriseerd door wet; gebaseerd op expliciete toestemming. Bijzondere categorieën vereisen een aanvullende art 9(2)(a) of (g) voorwaarde. |
Je kunt elk van bovenstaande rechten uitoefenen door rechtstreeks contact op te nemen met de verwerkingsverantwoordelijke. De verwerkingsverantwoordelijke moet je verzoeken vergemakkelijken en kan geen specifieke vorm vereisen, maar kan aanvullende informatie vragen om je identiteit te verifiëren (art 12(6)). Wanneer de verwerkingsverantwoordelijke niet op je verzoek reageert, kun je een klacht indienen bij je nationale gegevensbeschermingsautoriteit of een gerechtelijk rechtsmiddel aanwenden voor de rechtbanken van de lidstaat waar de verwerkingsverantwoordelijke gevestigd is of waar je woont (art 79).
Hoofdstuk IV, artikelen 24-43: de nalevingsarchitectuur voor verwerkingsverantwoordelijken en verwerkers
Gegevensbescherming moet van het begin in systemen en processen ingebed zijn, niet achteraf toegevoegd. Dit betekent dat pseudonimiseringe- en gegevensminimalisatietechnieken in het ontwerpstadium worden gebruikt, en standaard alleen de minimaal noodzakelijke gegevens worden verwerkt. Het principe geldt voor elke nieuwe technologie, dienst of product die persoonsgegevens omvat.
Verwerkingsverantwoordelijken moeten een schriftelijk register van alle verwerkingsactiviteiten bijhouden, met daarin: de naam en contactgegevens van de verwerkingsverantwoordelijke; contactgegevens van de FG; doelen; categorieën betrokkenen en gegevens; ontvangers; internationale overdrachten; bewaartermijnen; en een beschrijving van beveiligingsmaatregelen. Verwerkers moeten soortgelijke registersvoeren. Organisaties met minder dan 250 werknemers zijn vrijgesteld tenzij de verwerking niet incidenteel is, waarschijnlijk een risico oplevert, of bijzondere categorieën omvat.
Verwerkingsverantwoordelijken en verwerkers moeten passende technische en organisatorische maatregelen invoeren om een beveiligingsniveau passend bij het risico te garanderen. De AVG noemt voorbeelden (versleuteling, pseudonimisering, veerkracht, back-up en herstel, regelmatig testen) maar verplicht geen specifieke technologie. De norm is op risico gebaseerd: een gezondheidszorgorganisatie die duizenden patiëntengegevens verwerkt, wordt aan een hoger standaard gehouden dan een klein bedrijf dat alleen e-mailadressen van werknemers verwerkt.
Wanneer een inbreuk op de beveiliging van persoonsgegevens plaatsvindt (onopzettelijke of onwettige vernietiging, verlies, wijziging, onbevoegde openbaarmaking van of toegang tot persoonsgegevens), moet de verwerkingsverantwoordelijke de bevoegde toezichthouder binnen 72 uur na kennisgeving op de hoogte stellen, tenzij de inbreuk waarschijnlijk geen risico oplevert voor de rechten en vrijheden van personen. Wanneer de inbreuk waarschijnlijk een hoog risico oplevert, moeten de betrokken betrokkenen ook zonder onnodige vertraging worden genotificeerd. Verwerkers moeten de verwerkingsverantwoordelijke zonder onnodige vertraging op de hoogte stellen wanneer zij kennis nemen van een inbreuk.
Een DPIA is verplicht voordat verwerking plaatsvindt die waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van personen. De AVG vereist specifiek een DPIA voor: systematische en omvangrijke profilering met significante effecten; verwerking op grote schaal van bijzondere categorieën of strafgegevens; en systematische omvangrijke bewaking van openbaar toegankelijke ruimten (bijv. CCTV). Wanneer de DPIA aangeeft dat er restrisico met een hoog niveau bestaat dat niet kan worden verholpen, moet de verwerkingsverantwoordelijke de nationale toezichthouder raadplegen voordat wordt gestart (art 36).
Een functionaris voor gegevensbescherming (FG) moet worden aangewezen door: alle openbare autoriteiten (behalve rechtbanken in hun rechtsprekende hoedanigheid); organisaties wier kernactiviteiten regelmatige en systematische bewaking van betrokkenen op grote schaal vereisen; en organisaties wier kernactiviteiten verwerking op grote schaal van bijzondere categorieën of strafgegevens omvatten. De FG moet onafhankelijk zijn, kan niet worden ontslagen voor het uitoefenen van zijn rol, moet rapporteren aan het hoogste managementniveau, en moet deskundig zijn in gegevensbeschermingswetgeving en praktijk. Een groep bedrijven kan een enkele FG aanwijzen mits deze vanuit elke vestiging bereikbaar is.
Elke inschakeling van een verwerker moet worden geregeld door een schriftelijk contract dat de verwerker bindt en bepaalt: het onderwerp en de duur van de verwerking; de aard en het doel van de verwerking; het type persoonsgegevens en categorieën betrokkenen; de instructies van de verwerkingsverantwoordelijke (de verwerker mag gegevens alleen verwerken op gedocumenteerde instructies van de verwerkingsverantwoordelijke); beveiligingsverplichtingen; regels voor sub-verwerkers; en verplichtingen rond verwijdering of retournering van gegevens aan het einde van het contract. Wanneer een verwerker zelf een sub-verwerker inschakelt, moeten dezelfde contractuele verplichtingen doorstromen.
Hoofdstuk V, artikelen 44-50: gegevensexport buiten de EU/EER vereist een geldig overdragtsmechanisme
Het algemene beginsel in artikel 44 is dat overdracht van persoonsgegevens naar derde landen of internationale organisaties alleen is toegestaan als aan de voorwaarden van Hoofdstuk V wordt voldaan. Het doel is ervoor te zorgen dat het beschermingsniveau voor personen dat door de AVG wordt gegarandeerd, niet wordt ondermijnd door een export naar een minder beschermend rechtsgebied.
De uitspraak Schrems II van het CJEU van 16 juli 2020 (zaak C-311/18, Data Protection Commissioner tegen Facebook Ireland Ltd en Maximillian Schrems) vernietigde het adekwaatsbesluit EU-VS Privacy Shield. Het Hof stelde vast dat de wetgeving van de VS inzake toezicht (met name artikel 702 FISA en Executive Order 12333) inlichtingendiensten van de VS toegang gaf tot persoonsgegevens van EU-burgers op manieren die niet aan EU-normen voldoen. Als gevolg daarvan moeten verwerkingsverantwoordelijken die vertrouwen op SCC's een per-geval-overdrachtsimpactbeoordeling uitvoeren om te bepalen of het juridische kader van het bestemmingsland de contractuele beschermingen ondermijnt. Het EU-VS-gegevensprivacyframework (aangenomen door adekwaatsbesluit op 10 juli 2023) biedt een nieuwe adekwaatsbasis voor gecertificeerde Amerikaanse organisaties, maar verdere juridische uitdagingen worden verwacht.
Hoofdstuk VI-VIII, artikelen 51-84: toezichthouders, EDPB, en tweetal administratieve boetes
Elke lidstaat moet minstens een onafhankelijke nationale toezichthouder (artikel 51) instellen. Toezichthouders moeten met volledige onafhankelijkheid optreden en hebben onder artikel 58 drie categorieën bevoegdheden: onderzoeksbevoegdheden (toegang tot lokalen, gegevens en informatie); corrigerende bevoegdheden (waarschuwingen, reprimandes, bevelen, verwerkingsverboden en boetes); en advies- en autorisatiebevoegdheden (opinies, codes, BCR's, certificeringen).
Het one-stop-shopmechanisme (artikelen 56, 60) betekent dat voor grensoverschrijdende verwerking, de toezichthouder van de lidstaat waar de verwerkingsverantwoordelijke zijn hoofdvestiging heeft, optreedt als leidinggevende toezichthouder. Een bedrijf met hoofdkantoor in Ierland heeft bijvoorbeeld primair met de Ierse Data Protection Commission (DPC) te maken voor grensoverschrijdende verwerkingsactiviteiten.
Het Europees Comite voor gegevensbescherming (EDPB) is een onafhankelijk EU-orgaan dat door de AVG is ingesteld, bestaande uit de hoofden van alle 27 nationale toezichthouders en de Europese Toezichthouder voor gegevensbescherming. Het waarborgt consistente toepassing van de AVG in de hele EU door richtlijnen, opinies en bindende beslissingen uit te geven over grensoverschrijdende zaken waar toezichthouders het niet eens zijn. Het EDPB heeft uitgebreide richtlijnen gepubliceerd over onderwerpen waaronder toestemming, gegevensportabiliteit, internationale overdrachten, datalekken, DPIA's, recht op toegang, en veel sectorspecifieke vragen. EDPB-richtlijnen hebben niet de kracht van wet maar worden nauw gevolgd door toezichthouders en rechtbanken.
Het boetestelsel van de AVG werkt in twee schalen. Beide schalen gebruiken dezelfde formule "welke van beide het hoogst is" tussen het vaste maximum en het percentage van omzet, zodat boetes zinvol zijn zelfs voor de grootste mondiale bedrijven.
Bij het bepalen of een boete moet worden opgelegd en het bedrag, moeten toezichthouders rekening houden met: de aard, ernst en duur van de inbreuk; of deze opzettelijk of schuldig was; maatregelen om schade te verminderen; de mate van aansprakelijkheid; vorige inbreuken; samenwerking met de toezichthouder; de categorieën getroffen gegevens; en of de toezichthouder vrijwillig werd genotificeerd.
| Organisatie | Toezichthouder | Jaar | Boete | Reden |
|---|---|---|---|---|
| Meta (Facebook) | Ierse DPC | 2023 | EUR 1,2 miljard | Overdracht van EU-persoonsgegevens naar de VS zonder adequate waarborgen |
| Amazon | Luxemburgse CNPD | 2021 | EUR 746 miljoen | Verwerking van reclamepersoongegevens zonder adequate juridische grondslag |
| Meta (WhatsApp) | Ierse DPC | 2021 | EUR 225 miljoen | Gebreken in transparantie en privacyinformatie |
| Franse CNIL | 2019 | EUR 50 miljoen | Gebrek aan transparantie, onvoldoende informatie en afwezigheid van geldige toestemming voor persoonlijke advertenties | |
| Clearview AI | Italiaanse Garante | 2022 | EUR 20 miljoen | Onwettige verwerking van biometrische gegevens (gezichtsafbeeldingen scraped van internet) |
Elke persoon die materiële of immateriële schade heeft geleden als gevolg van een AVG-inbreuk heeft het recht schadevergoeding te ontvangen van de verwerkingsverantwoordelijke of verwerker. Zowel materiële schade (financieel verlies, identiteitsdiefstalkosten) als immateriële schade (angst, stress) zijn gedekt. Verwerkingsverantwoordelijken en verwerkers zijn gezamenlijk en hoofdelijk aansprakelijk, met regresrechten tussen hen. Dit creëert een krachtig privaatrecht handhavingsmechanisme naast openbare handhaving door toezichthouders.
van de richtlijn van 1995 tot de AVG en daarna
veel voorkomende vragen over AVG-reikwijdte, toestemming, boetes en het rechtskader
Ja, als je goederen of diensten aan personen in de EU aanbiedt (gratis of betaald) of als je het gedrag van personen in de EU bewaakt (bijvoorbeeld via webanalytics, cookies of gedragsgerichte advertenties gericht op EU-gebruikers), is de AVG op je van toepassing onder artikel 3(2). Je moet ook een schriftelijke EU-vertegenwoordiger aanwijzen (artikel 27), tenzij je verwerking incidenteel is, geen verwerking van bijzondere categorieën op grote schaal omvat, en waarschijnlijk geen risico oplevert voor de rechten van personen.
Nee. Toestemming is een van de zes juridische grondslagen in artikel 6. In veel situaties is een ander rechtsbasis meer geschikt: verwerking voor contractuitvoering (art 6(1)(b)), naleving van een wettelijke verplichting (art 6(1)(c)), of gerechtvaardigd belang (art 6(1)(f)) kan een stabielere en meer geschikte basis zijn. Toestemming kiezen wanneer een ander rechtsbasis van toepassing is, creëert problemen: als de persoon toestemming intrekt, moet je stoppen met verwerking zelfs als je een legitiem zakelijk belang hebt. Verwerkingsverantwoordelijken moeten de juiste rechtsbasis bepalen voordat ze persoonsgegevens gaan verwerken.
Onder artikel 4(12) is een inbreuk op gegevensbescherming een schending van beveiliging die leidt tot onopzettelijke of onwettige vernietiging, verlies, wijziging, onbevoegde openbaarmaking van of toegang tot persoonsgegevens die worden verzonden, opgeslagen of anderszins verwerkt. Dit bestrijkt niet alleen cyberaanvallen en hacking, maar ook per ongeluk het verzenden van een e-mail met persoonsgegevens naar de verkeerde ontvanger, het verliezen van een ongecodeerde USB-schijf, of een slecht geconfigureerde database die openbaar toegankelijk wordt. Niet elke inbreuk vereist melding aan de toezichthouder: melding is alleen vereist als de inbreuk waarschijnlijk een risico oplevert voor de rechten en vrijheden van personen (art 33(1)).
Nee. Een FG is alleen verplicht voor: (a) openbare autoriteiten en organen (behalve rechtbanken die in hun rechtsprekende hoedanigheid optreden); (b) organisaties wier kernactiviteiten regelmatige en systematische bewaking van betrokkenen op grote schaal vereisen; en (c) organisaties wier kernactiviteiten verwerking op grote schaal van bijzondere categorieën of strafgegevens omvatten (art 37(1)). Een individuele arts, advocaat of klein bedrijf hoeft geen FG aan te wijzen. Elke organisatie kan echter vrijwillig een FG aanwijzen (art 37(4)), en het EDPB moedigt dit aan als goede praktijk.
Toezichthouders moeten boetes per geval beoordelen, rekening houdend met de factoren in artikel 83(2): de aard, ernst en duur van de inbreuk; of deze opzettelijk of schuldig was; het aantal betrokkenen; het schadebedrag; vorige inbreuken; samenwerking met de autoriteit; de categorieën getroffen gegevens; en hoe de inbreuk aan de autoriteit bekend werd. De twee-schaal maximum (EUR 10 miljoen / 2% of EUR 20 miljoen / 4%) fungeert als plafond, niet als standaard of verwacht bedrag. Voor grote multinationals is de berekening van 4% van de wereldwijde omzet de bindende limiet, aangezien deze EUR 20 miljoen zal overschrijden.
Een verwerkingsverantwoordelijke (art 4(7)) is de natuurlijke of rechtspersoon, openbare autoriteit, instantie of orgaan die de doeleinden en middelen van de verwerking van persoonsgegevens bepaalt. Een verwerker (art 4(8)) is de entiteit die persoonsgegevens namens de verwerkingsverantwoordelijke verwerkt, op basis van de gedocumenteerde instructies van de verwerkingsverantwoordelijke. Dezelfde entiteit kan voor sommige verwerking een verwerkingsverantwoordelijke zijn en voor andere verwerking een verwerker. Verwerkingsverantwoordelijken dragen de primaire nalevingsverplichtingen onder de AVG. Verwerkers hebben ook direct geldende verplichtingen (beveiliging, meldingsplicht aan de verwerkingsverantwoordelijke, toestemming voor sub-verwerkers, registers), en zij zijn direct aansprakelijk als zij de instructies van de verwerkingsverantwoordelijke overschrijden of onwettig handelen.
sleutelbegrippen uit artikel 4 en het AVG-raamwerk
primaire wetgevings- en regelgevingsverwijzingen voor de AVG
De officiële geconsolideerde tekst van Verordening (EU) 2016/679 is beschikbaar op EUR-Lex in alle officiële talen van de EU.
Open op EUR-LexHet EDPB publiceert bindende beslissingen, richtlijnen, aanbevelingen en consistentieadviezen over AVG-interpretatie. Essentieel lesmateriaal voor nalevingsprofessionals.
EDPB-documentenElke EU-lidstaat heeft zijn eigen gegevensbeschermingstoezichthouder. Het EDPB onderhoudt een volledige gids. Je nationale toezichthouder is het primaire contactpunt voor klachten en begeleiding in je rechtsgebied.
Gids toezichthoudersDe originele publicatie in het Publicatieblad van de AVG. Pagina's 1-88 bevatten de verordening; pagina's 88-102 bevatten de Richtlijn wetshandhaving (2016/680) in dezelfde uitgave.
PB L 119AI-aangedreven tools om dieper in te gaan op AVG-naleving, amendementen en beleidsanalyse
Brubru geeft EU-beleidsmedewerkers AI-aangedreven tools om het volledige EU-rechtscorpus te navigeren: chat, nalevingscontroles, amendementconcepten en wetgevingsmonitoring in alle 27 lidstaten.