ZIJN UITSPRAKEN ZBC OVER AVG JURIDISCH HOUDBAAR?

Auteur: Wendy Franken (31 January 2017)

 

Het is niet nieuw dat ZBC standaard kiest voor een pragmatische invalshoek. Ook de artikelen op de ZBC kennisbank hebben een hoog praktijkgehalte. ZBC schroomt daarbij niet om de wet op een daarbij passende wijze te interpreteren. Als jurist1) echter wil ik de discussie zuiver houden. Tegelijkertijd wil ik uiteraard mijn ogen niet sluiten voor de praktijk.

Ik wil met deze reactie graag een juridisch antwoord geven op onderdelen uit de artikelen ‘De privacy effect beoordeling kan niet wachten tot 2018’ en ‘Moet ik als bewerker een privacy effect beoordeling doen’ die ZBC deze maand heeft gepubliceerd op de ZBC-kennisbank. Hiervoor zal ik artikel 28 uit de Wbp bespreken en uit de AVG toevalligerwijze eveneens artikel 28. (Niet echt) opvallend zal zijn dat het juridische antwoord afwijkt van het meest praktische antwoord. Het is daarbij te verwachten dat ondernemers voor het praktische antwoord zullen kiezen.

1) ZBC consulteert Wendy Franken van www.metrechtjuridisch.nl regelmatig voor de toetsing van de interpretatie van wet en regelgeving op het gebied van privacy, ondernemingsrecht en contractuele zaken.

De privacy effectbeoordeling is vanaf 2016 al verplicht

In het artikel ‘De privacy effect beoordeling kan niet wachten tot 2018’ wordt gezegd dat je verplicht bent een privacy effect beoordeling (PEB) uit te voeren op alle nieuwe initiatieven die je vanaf mei 2016 ontplooit en die een verandering inhouden voor het verzamelen, bewerken en beheren van persoonsgegevens.

De PEB als zelfstandig instrument is inderdaad voor het eerst geduid in de AVG. Vanaf mei 2018 zal iedere verwerkingsverantwoordelijke voor de aangewezen verwerkingen een PEB moeten doen. Deze plicht geldt op dit moment dus nog niet (voor elke verwerkingsverantwoordelijke).  Hierdoor zou een lacune kunnen ontstaan.

Bedenk bijvoorbeeld de situatie waarin een zorginstelling een SaaS-oplossing zou kopen in maart 2018. Deze zorginstelling hoeft in maart 2018 formeel juridisch gezien geen PEB uit te voeren. Praktisch gezien loopt de instelling echter een fiks risico, indien zich na mei 2018 een datalek voordoet. De instelling is in dat geval immers wel degelijk verplicht om aan te tonen dat voldaan is aan de vereisten die uit de op dat moment van toepassing zijnde AVG voortvloeien. Eén van de eisen is dan dat de zorginstelling aantoont dat er maatregelen zijn genomen en kan laten zien welke dat zijn “om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen van een inbreuk” (artikel 33 lid 3 onder de AVG). Indien de zorginstelling geen PEB heeft uitgevoerd voor ingebruikname van de SaaS-applicatie, is het zo goed als onmogelijk om vanaf mei 2018 aan deze vereisten te voldoen. Hoe zou dit praktische probleem juridisch opgelost kunnen worden?

Juridisch correcte oplossing

De Wbp is op dit moment nog steeds geldend recht. Dit houdt zuiver genomen in, dat er eigenlijk nog steeds een meldplicht voor verwerking bestaat conform artikel 27 e.v. Wbp.

In een geval zoals hierboven omschreven zou tot mei 2018 hypothetisch het meest juridisch zuivere traject bestaan uit een stappenplan, dat ten eerste bestaat uit een onderzoek naar al hetgeen in artikel 28 Wbp omschreven staat:

1. “De melding behelst een opgave van:

a. de naam en het adres van de verantwoordelijke;

b. het doel of de doeleinden van de verwerking;

c. een beschrijving van de categorieën van betrokkenen en van de gegevens of categorieën van gegevens die daarop betrekking hebben;

d. de ontvangers of categorieën van ontvangers aan wie de gegevens kunnen worden verstrekt;

e. de voorgenomen doorgiften van gegevens naar landen buiten de Europese Unie;

f. een algemene beschrijving om een voorlopig oordeel te kunnen geven over de gepastheid van de voorgenomen maatregelen om, ter toepassing van artikel 13 en 14, de beveiliging van de verwerking te waarborgen.

2. De melding behelst het doel of de doeleinden waarvoor de gegevens of de categorieën van gegevens zijn of worden verzameld.”

Verder dient men onder de momenteel nog van kracht zijnde Wbp (artikel 13) ook gewoon passende technische en organisatorische maatregelen te hanteren. Ten tweede moet de zorginstelling dus onderzoeken of bij het in gebruik nemen van de nieuwe SaaS-applicatie in maart 2018 sprake is geweest van deze maatregelen en dat vervolgens kunnen aantonen.

De informatie welke noodzakelijk is voor melding van verwerking tot mei 2018 komt dus toch wel erg overeenkomt met de informatie welke tijdens een PEB naar boven komt.

Conclusie verplichting om nu al een PEB uit te voeren

Strikt juridisch kan niet gesteld worden dat een PEB op dit moment vereist is. Wel is de zorginstelling zuiver juridisch verplicht om een zeer vergelijkbaar onderzoek te verrichten om te kunnen voldoen aan de meldplicht (ook al wordt deze niet meer actief nageleefd tot mei 2018).

Praktische oplossing is dan toch: een PEB laten uitvoeren.

De klant kan verplichting om een PEB uit te voeren neerleggen bij de bewerker

In het artikel ‘Moet ik als bewerker een privacy effect beoordeling doen’ wordt onder andere gesteld dat artikel 35 lid 11 van de AVG de verantwoordelijke de ruimte geeft om de PEB neer te leggen bij een bewerker.

Juridisch kan deze stelling niet volledig worden onderbouwd. Laten we eerst kijken wat artikel 28 van de AVG stelt omtrent de verwerker:

1. “Wanneer een verwerking namens een verwerkingsverantwoordelijke wordt verricht, doet de verwerkingsverantwoordelijke uitsluitend een beroep op verwerkers die afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen bieden opdat de verwerking aan de vereisten van deze verordening voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd.

3. De verwerking door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven. Die overeenkomst of andere rechtshandeling bepaalt met name dat de verwerker:

e) rekening houdend met de aard van de verwerking, de verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bijstand verleent bij het vervullen van diens plicht om verzoeken om uitoefening van de in hoofdstuk III vastgestelde rechten van de betrokkene te beantwoorden;

f) rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie de verwerkingsverantwoordelijke bijstand verleent bij het doen nakomen van de verplichtingen uit hoofde van de artikelen 32 tot en met 36;

Volgens sub f. van lid 2 dient er dus tussen verantwoordelijke en verwerker te worden bepaald dat de verwerker de verantwoordelijke “bijstand” verleent, wanneer de verantwoordelijke de (ik lees daarin zijn) verplichtingen uit de AVG nakomt.

Ook de verwerker dient dus passende technische en organisatorische maatregelen te treffen. En, net als de verwerkingsverantwoordelijke, dient ook de verwerker een register bij te houden van alle categorieën van verwerkingsactiviteiten die ten behoeve van de verwerkingsverantwoordelijke worden verricht.

Conclusie stelling 2

Uit de wet, noch uit de memorie van toelichting valt op te maken dat er op de verwerker die in opdracht verwerkt een plicht rust tot het verrichten van een PEB, zoals deze wel letterlijk omschreven rust op de verantwoordelijke. Wel rusten er zodanige juridisch afdwingbare verplichtingen op de verwerker, dat moeilijk is in te zien hoe deze praktisch gezien aan zijn verplichtingen kan voldoen zonder het uitvoeren van een PEB.

De wet is niet altijd praktisch

Iedere jurist zit altijd in het spanningsveld van de letter van de wet, de bedoeling van de wet, het moment dat een wet is opgesteld en hoe hier mee om te gaan in de praktijk.

Zo ook de privacy wetgeving. De Wbp is opgesteld in de vorige eeuw, toen de massale geautomatiseerde verwerking van persoonsgegevens eigenlijk alleen gebeurde door de overheid, banken en verzekeraars, internet en uitbesteding nog nauwelijks bestonden en de cloud, SaaS en datahandel nog onbekend waren. De AVG is natuurlijk recent, maar laat nog vele punten open, zodat juristen dit vanuit meerdere invalshoeken kunnen benaderen. Zoals bijvoorbeeld de twee stellingen van ZBC. De AVG schrijft niet voor wie de PEB moet doen en vanaf wanneer. Wel dat je vanaf mei 2018 moet kunnen aantonen dat je over privacy hebt nagedacht.

Maar als jurist moet ik zeggen, dat de AVG de stellingen van ZBC uit de artikelen ‘De privacy effect beoordeling kan niet wachten tot 2018’ en ‘Moet ik als bewerker een privacy effect beoordeling doen’ niet oplegt.