Hieronder zijn opgenomen het advies van de Afdeling advisering van de Raad van State d.d. 14 december 2022 en het nader rapport d.d. 24 november 2022, aangeboden aan de Koning door de Minister voor Rechtsbescherming, mede namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties. Het advies van de Afdeling advisering van de Raad van State is cursief afgedrukt.
Blijkens de mededeling van de Directeur van Uw kabinet van 14 december 2021, 2021002454, machtigde Uwe Majesteit de Afdeling advisering van de Raad van State (hierna: de Afdeling) haar advies inzake het bovenvermelde voorstel van wet rechtstreeks aan mij te doen toekomen. Dit advies, gedateerd 16 maart 2022, nr. W16.21.0372, bied ik U hierbij aan.
De tekst van het advies treft u hieronder aan, voorzien van mijn reactie.
Bij Kabinetsmissive van 14 december 2021, no. 2021002454 heeft Uwe Majesteit, op voordracht van de Minister voor Rechtsbescherming, mede namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties en de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt het voorstel van wet houdende wijziging van de Uitvoeringswet Algemene verordening gegevensbescherming en enkele andere wetten in verband met het stroomlijnen en actualiseren van het gegevensbeschermingsrecht (Verzamelwet gegevensbescherming), met memorie van toelichting.
Het voorstel is tot stand gekomen mede naar aanleiding van de behandeling van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) in de Tweede Kamer. Het bevat een aantal inhoudelijke en technische wijzigingen. Zo worden onder meer wijzigingen voorgesteld inzake de uitoefening van rechten op basis van de Algemene verordening gegevensbescherming (AVG). Ook biedt het voorstel een grondslag voor de verwerking van (bijzondere) persoonsgegevens door curatoren, bewindvoerders, Wsnp-bewindvoerders, de Raad voor Rechtsbijstand en accountants, en een delegatiegrondslag voor verwerkingen door adviescolleges en commissies. Daarnaast bevat het voorstel voorschriften voor het verwerken van persoonsgegevens in het kader van transactiemonitoring, inclusief geautomatiseerde besluitvorming.
De Afdeling advisering van de Raad van State maakt opmerkingen over de invulling die in het wetsvoorstel wordt gegeven aan open AVG-normen. Dit tegen de achtergrond van de aard van de AVG en de ruimte voor de wetgever bij de nadere uitvoering hiervan. Het betreft de normen «zwaarwegend algemeen belang» en «passende en specifieke maatregelen en waarborgen». Tegen dezelfde achtergrond adviseert de Afdeling toe te lichten waarom de verwerking van bijzondere persoonsgegevens door accountants in de UAVG is opgenomen.
Verder worden opmerkingen gemaakt over de rechtsgrondslag voor het verwerken van de gegevens door en de taakomschrijving van de curator en de (Wsnp-)bewindvoerder. Daarnaast maakt zij opmerkingen over de uitbreiding van de verplichting tot transactiemonitoring. De Afdeling merkt verder op dat de reikwijdte van de mogelijkheid om de rechten van betrokkenen te beperken onduidelijk is.
Tot slot adviseert de Afdeling de reikwijdte van de delegatiegrondslag voor commissies en adviescolleges nader toe te lichten, evenals de vraag wie in dat verband als verwerkingsverantwoordelijke wordt aangemerkt. In verband daarmee is aanpassing van de toelichting en het voorstel wenselijk.
Op 25 mei 2018 trad de AVG in werking.2 Ter uitvoering van de AVG stelt de UAVG regels op nationaal niveau. De Minister voor Rechtsbescherming dient binnen drie jaar na de inwerkingtreding van de UAVG, en vervolgens telkens na vier jaar, aan de Staten-Generaal een verslag toe te zenden over de uitvoering en effecten van deze wet in de praktijk.3 Deze evaluatie wordt verwacht in mei 2022.4
Op deze evaluatie is reeds bij de behandeling van de UAVG in de Tweede Kamer vooruitgelopen met de toezegging door de Minister direct na afronding van het wetsvoorstel de mogelijkheden te verkennen voor verdere modernisering en verbetering van het gegevensbeschermingsrecht.5 Tevens is de motie Koopmans c.s. overgenomen die de regering oproept om, na inwerkingtreding van de UAVG, te berichten over ervaringen en voornemens met betrekking tot een aantal gegevensbeschermingsrechtelijke aspecten.6
Dit wetsvoorstel beoogt bovengenoemde toezegging en motie uit te voeren. Doelstelling van het voorstel is het stroomlijnen en actualiseren van het gegevensbeschermingsrecht.7 In lijn met de doelstelling van de UAVG wordt verder uitvoering gegeven aan de AVG.8 Het voorstel bevat wijzigingen die betrekking hebben op uiteenlopende onderwerpen, van zowel technische als inhoudelijke aard. Wat betreft laatstgenoemde categorie van wijzigingen gaat het in het bijzonder om wijzigingen inzake de uitoefening van rechten op basis van de AVG, het bieden of verduidelijken van grondslagen voor de verwerking van (bepaalde categorieën van) persoonsgegevens en andere specifieke wijzigingen, zoals de verplichtingen van financiële ondernemingen op het gebied van het toezicht op transacties. In het kader van laatstgenoemde wijziging wordt tevens de mogelijkheid van geautomatiseerde besluitvorming geregeld.
De beschrijving van de inhoud en doel van het voorstel geeft geen aanleiding voor een reactie.
Het wetsvoorstel illustreert hoe gecompliceerd en geleidelijk de uitvoering van de AVG verloopt. Dat heeft te maken met het bijzondere karakter van de AVG. Zij regelt onderwerpen met een fundamenteelrechtelijk karakter.9 Omdat de AVG een verordening is, zijn haar bepalingen rechtstreeks toepasselijk in de lidstaten.10 Echter, op bepaalde onderdelen wordt aan de lidstaten ruimte gelaten om bij nationale wet nadere regels te stellen.11 Het is dan aan de nationale wetgever om, binnen de grenzen van de AVG, de AVG uit te voeren en nader uit te werken.
Dat is geen eenvoudige opgave. De AVG kent veel open normen die door de nationale wetgever nader moeten worden ingevuld. Dat leidt vaak tot moeilijke afwegingen die in een veranderende samenleving regelmatig opnieuw moeten worden herijkt. De door de AVG gestelde normen werken vanwege hun ruime reikwijdte door op veel maatschappelijke deelterreinen en daarmee in veel sectorwetgeving. Deze normen dienen vervolgens vaak nader te worden uitgewerkt in lagere regelgeving, en in de dagelijkse praktijk van bestuursorganen, maatschappelijke instellingen en het bedrijfsleven. De interpretatie van de AVG krijgt daarbij verder vorm in opinies van toezichthouders en rechterlijke uitspraken op Europees en nationaal niveau. Dat alles vereist op veel plaatsen in de samenleving juridische kennis van de AVG en van de wijze waarop deze ingrijpt in werkprocessen en de werking van de moderne technologieën.
Het voorliggende wetsvoorstel moet tegen de achtergrond van het voorgaande worden beoordeeld. Het laat op een aantal punten zien dat op wetsniveau nog veel oningevuld blijft en de voorgestelde wijzigingen daarom ook nog de nodige vragen oproepen. De meeste van onderstaande opmerkingen beogen op een aantal van deze punten bij te dragen aan verheldering. Het wetsvoorstel is in dat licht bezien niet het eindpunt. Mede als gevolg van de in de toelichting genoemde evaluatie van de UAVG zal meer wetgeving nodig zijn om de uitvoering van de AVG te verbeteren.
De Afdeling merkt terecht op dat dit wetvoorstel niet het eindpunt is als het gaat om invulling van de open normen uit de AVG door de nationale wetgever. Het kabinet deelt de opvatting van de Afdeling dat mede als gevolg van de evaluatie van de UAVG meer wetgeving nodig zal zijn om de uitvoering van de AVG te verbeteren. Dit zal naar het oordeel van het kabinet overigens niet alleen wijzigingen van de UAVG betreffen, maar vaak ook in andere wetten dienen te worden vormgegeven. De AVG is nu ruim vier jaar in werking getreden en het wordt steeds duidelijker wat de implicaties zijn van deze verordening, ook ten aanzien van de eisen die aan wet- en regelgeving worden gesteld. Zoals ook in de toelichting is aangegeven is het kabinet zich ervan bewust dat ook ten aanzien van de UAVG er nog het nodige te verbeteren valt. Het is voorzien dat nieuwe wijzigingen van de UAVG noodzakelijk zijn. Bijvoorbeeld de evaluatie van de UAVG kan hiertoe nopen. Deze evaluatie is inmiddels afgerond. Het rapport, met de titel «Bescherming gegeven? Evaluatie UAVG, meldplicht datalekken en de boetebevoegdheid», is op 6 september jl. aan de Tweede Kamer aangeboden. De beleidsreactie volgt in het eerste kwartaal van 2023.
Het wetsvoorstel geeft aanleiding om nader in te gaan op twee aspecten die nauw samenhangen met het open karakter van (onderdelen van) de AVG en de door de nationale wetgever vereiste uitvoering daarvan. Dit betreft in de eerste plaats de invulling die wordt gegeven aan de voorwaarde dat voor de verwerking van bijzondere categorieën van persoonsgegevens een «zwaarwegend algemeen belang» is vereist.12 Daarnaast bepaalt de AVG dat passende (en specifieke) waarborgen moeten gelden voor de verwerking van bijzondere categorieën van persoonsgegevens en strafrechtelijke persoonsgegevens.13 Beide voorwaarden moeten worden ingevuld door de nationale wetgever.
Het voorstel voorziet in een aantal grondslagen voor het verwerken van bijzondere persoonsgegevens. Het verwerken van bijzondere persoonsgegevens is in beginsel verboden, tenzij een beroep op één van de in de AVG genoemde uitzonderingsgronden kan worden gedaan.14 Eén daarvan is het regelen van een wettelijke grondslag om redenen van zwaarwegend algemeen belang. Het wetsvoorstel maakt daar veelvuldig gebruik van.15
In de toelichting op het wetsvoorstel wordt vermeld dat met het creëren van deze wettelijke grondslagen een zwaarwegend algemeen belang is gediend. De Afdeling heeft daar op zichzelf begrip voor. Desalniettemin rijst de vraag, gelet op de uiteenlopende aard van deze verwerkingsgrondslagen, in hoeverre al deze grondslagen daadwerkelijk een zwaarwegend algemeen belang dienen – en wat dit onderscheidt van een (niet-zwaarwegend) algemeen belang. Dat is te meer van belang omdat het antwoord op die vraag in het concrete geval uiteindelijk in de uitvoeringspraktijk moet worden gegeven. De vraag is in hoeverre die praktijk daarmee voldoende uit de voeten kan.
Ter illustratie kan dienen dat op grond van het wetsvoorstel curatoren en Wsnp-bewindvoerders bijzondere categorieën van persoonsgegevens kunnen verwerken «voor zover dat in het kader van een dringend maatschappelijk belang is vereist».16 Onduidelijk is wat dit dringend maatschappelijk belang concreet kan inhouden, in hoeverre dit een zwaarwegend algemeen belang is in de zin van de AVG en wanneer en onder welke voorwaarden curatoren en bewindvoerders zich daarop kunnen beroepen. De Afdeling acht verheldering op dit punt van belang, ook om de rechtspraktijk hierin richtsnoeren te bieden.
De Afdeling adviseert hierop in de toelichting nader in te gaan.
Het kabinet herkent het vraagstuk dat de Afdeling hier opwerpt. Het is niet altijd makkelijk dit onderscheid exact te maken, ook omdat de maatschappelijke opvattingen hierover zich al naar gelang de ontwikkelingen in de samenleving ook kunnen wijzigen. Bij een zwaarwegend algemeen belang is er sprake van een algemeen belang dat zodanig is dat het zwaarder weegt dan het belang van de bescherming tegen inbreuk op de persoonlijke levenssfeer door het gebruik van bijzondere categorieën van persoonsgegevens. Het belang is groter dan wanneer er uitsluitend sprake is van een algemeen belang. Het is dus een relatief begrip, waarbij niet alleen geldt dat een scherpere afweging ter zake van proportionaliteit en subsidiariteit zal moeten worden gemaakt, maar waarbij ook de noodzaak van de gegevensverwerking nadrukkelijker moet worden onderbouwd.
Vaak is het zo dat er een taak van algemeen belang is en dat blijkt dat het voor de uitvoering van die taak noodzakelijk is om bijzondere persoonsgegevens te verwerken omdat de taak anders niet kan worden uitgevoerd.
Zo is het bij faillissementen mogelijk dat zich in de boedel bijzondere persoonsgegevens bevinden. De curator is verantwoordelijk voor het beheer en vereffening van de boedel en hij moet dus in het kader van het beheer en vereffening van de boedel bijzondere persoonsgegevens kunnen verwerken. Een curator zou, indien hij deze persoonsgegevens niet mag verwerken, zijn taak niet volledig kunnen uitvoeren. In een dergelijk geval zal dus moeten worden beoordeeld of de betreffende taak inderdaad ook een taak van zwaarwegend algemeen belang is, waarvoor bijzondere categorieën van persoonsgegevens moeten kunnen worden verwerkt. Dit zal dus steeds moeten worden afgewogen. Het kabinet is van oordeel dat de taak van de curator of de bewindvoerder van een zodanig zwaarwegend algemeen belang dient dat bijzondere categorieën van persoonsgegevens verwerkt moeten kunnen worden, indien dat noodzakelijk is voor de taak.
De Afdeling noemt in voetnoot 14 ook als voorbeeld de grondslag voor bijzondere persoonsgegevensverwerking bij accountantsopdrachten. Het onderscheid tussen verwerking om redenen van zwaarwegend algemeen belang en van (niet-zwaarwegend) algemeen belang ligt in de bij wettelijk voorschrift verplicht gestelde accountantsopdrachten en de vrijwillige accountantsopdrachten. De accountants vervullen met de verplichte accountantsopdrachten een taak van zodanig groot algemeen belang dat bij wettelijk voorschrift is verzekerd dat die taak wordt uitgevoerd. Die opdrachten dienen een grote variëteit aan belangen in het maatschappelijk verkeer die zich ook uitstrekt tot andere gebruikers dan de opdrachtgevers. De verwerking in het kader van de bij wettelijk voorschrift verplichte accountantsopdrachten geschiedt dan ook om redenen van zwaarwegend algemeen belang als bedoeld in artikel 9, tweede lid, onderdeel g, AVG. Een dergelijk belang ontbreekt bij de vrijwillige accountantsopdrachten. De memorie van toelichting is gezien de opmerking van de Afdeling aangevuld met een toelichting op het gemaakte onderscheid.
In samenhang met het voorgaande voorziet het voorstel tevens in een aantal grondslagen voor de verwerking van strafrechtelijke gegevens.17 Voor het verwerken van strafrechtelijke gegevens dienen lidstaatrechtelijke bepalingen «passende waarborgen» te bieden.18 Voor het verwerken van bijzondere persoonsgegevens om redenen van zwaarwegend algemeen belang (zie hiervoor) dienen eveneens passende en specifieke maatregelen te worden getroffen.19 De Afdeling merkt op dat de toelichting bij een aantal van deze wijzigingen echter niet ingaat op de (eventueel geldende) passende en specifieke maatregelen en waarborgen.20 Helderheid is hier geboden, juist vanwege het open karakter van de AVG.
Het kabinet onderschrijft de opmerkingen van de Afdeling en zal in de toelichting die behoort bij de door de Afdeling in de voetnoot aangehaalde onderdelen van dit wetsvoorstel ook nader ingaan op deze opmerkingen.
De Afdeling wijst in dit verband op twee onderdelen van het voorstel waarop in het bijzonder meer helderheid is vereist. Het eerste onderdeel betreft het voorstel dat een aantal financiële ondernemingen in het kader van het uitvoeren van transactiemonitoring zo nodig ook geautomatiseerd transacties kunnen blokkeren of opschorten als hiervoor aanleiding is en indien aan een aantal voorwaarden wordt voldaan.21 Geautomatiseerde besluitvorming wordt in de AVG onderworpen aan specifieke voorwaarden, waaronder het bieden van passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene.22
Het wetsvoorstel bepaalt daaromtrent dat bij algemene maatregel van bestuur aanvullende regels worden gesteld over «passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van cliënten in geval van het blokkeren of opschorten van betalingstransacties».23 Uit de toelichting blijkt niet duidelijk om welke aanvullende regels – die van belang zijn voor de rechtspositie van de burger- het zal gaan. Omdat de AVG de aanwezigheid van passende maatregelen als voorwaarde stelt voor de toepassing van geautomatiseerde besluitvorming, is het van belang dat het wetsvoorstel dan wel in de toelichting meer duidelijkheid biedt over de aard en inhoud van deze aanvullende regels.
In verband met het voorgaande is voorts de vraag of, zoals de AVG voorschrijft, alle passende maatregelen van toepassing zullen zijn op het moment dat de bepalingen die voorzien in geautomatiseerde besluitvorming in werking treden. De toelichting bespreekt niet in hoeverre dat in de huidige opzet van het wetsvoorstel is verzekerd, en in welke mate dit afhankelijk is van de bij algemene maatregel van bestuur te stellen regels.
De Afdeling adviseert in de toelichting op het voorgaande in te gaan en het wetsvoorstel zo nodig aan te passen.
Naar aanleiding van deze opmerkingen is in het wetsvoorstel, in het nieuw toe te voegen tiende lid van artikel 3:17 van de Wet financieel toezicht, opgenomen op welke onderwerpen de bedoelde passende maatregelen in elk geval betrekking zullen hebben. Deze maatregelen worden opgenomen in een algemene maatregel van bestuur waarvan de beoogde datum van inwerkingtreding gelijk zal zijn aan die van de in dit wetsvoorstel voorgestelde wijziging van artikel 3.17 Wft. Hiermee wordt zeker gesteld dat deze passende maatregelen van toepassing zullen zijn op het moment dat de bepalingen die voorzien in geautomatiseerde besluitvorming in werking treden.
Het voorstel bevat regels omtrent de gegevensverwerking door commissies en adviescolleges.24 De voorgestelde regeling voorziet in de mogelijkheid om in de instellingsregeling een uitzondering op te nemen voor de verwerking van bijzondere en strafrechtelijke persoonsgegevens. Daarbij stelt het wetsvoorstel als voorwaarde dat dat alleen geschiedt voor zover noodzakelijk met het oog op de taak van de commissie of van het adviescollege en het doel daarvan en «onder de voorwaarden die de verordening hieraan verbindt».25
Met de aldus geformuleerde regeling blijft onduidelijk of in de instellingsregeling ook de noodzakelijke te treffen passende en specifieke maatregelen en waarborgen dienen te worden geregeld (zoals onder meer een bewaartermijn). Dat is van belang omdat, zoals hiervoor aangegeven, bij het verwerken van bijzondere en strafrechtelijke persoonsgegevens dient te worden voorzien in passende en specifieke maatregelen en waarborgen. Meer duidelijkheid hieromtrent is noodzakelijk. Daarbij is ook de vraag aan de orde in hoeverre de wet niet zélf althans op hoofdlijnen moet bepalen welke passende waarborgen hier van toepassing moeten zijn en welke elementen ter nadere uitwerking daarvan aan de instellingsregeling kunnen worden overgelaten.
De Afdeling adviseert in de toelichting op het voorgaande in te gaan en zo nodig het voorstel aan te passen.
Het voorgestelde artikel 47a, dat ziet op de tijdelijke adviescolleges en commissies en de artikelsgewijze toelichting bij dit artikel zijn aangepast naar aanleiding van deze en de later in het advies opgenomen opmerkingen over dit artikel. Het artikel is anders geformuleerd (zie hieronder ook bij punt 8.) en er zijn meer waarborgen opgenomen. Vereist is nu dat er een bewaartermijn moet worden opgenomen in de instellingsregeling. Ten aanzien van de verwerking van bijzondere en strafrechtelijke persoonsgegevens is nu opgenomen dat deze slechts mogen worden verwerkt indien dit noodzakelijk is voor een zwaarwegend algemeen belang, het vragen van toestemming onmogelijk blijkt of een onevenredige inspanning vergt en er in de instellingsregeling voldoende passende en specifieke waarborgen ter bescherming van de grondrechten en fundamentele belangen van betrokkenen zijn opgenomen.
Omdat de commissies en adviescolleges uiteenlopende werkzaamheden kunnen verrichten, is het niet mogelijk om alle waarborgen die in een bepaald geval mogelijk en noodzakelijk zijn in de wet zelf op te nemen. Het is daarom vereist dat, specifiek toegespitst op de situatie, er voldoende waarborgen worden opgenomen in de instellingsregeling zelf. Hierbij kan bijvoorbeeld gedacht worden aan het pseudonimisering van de gegevens, indien dit mogelijk is en geen afbreuk doet aan de taak of doelstelling van de commissie of het adviescollege. Tot slot moet een tijdelijke commissie of adviescollege voorafgaand aan haar opheffing een verslag opstellen over de wijze waarop bijzondere categorieën of strafrechtelijke persoonsgegevens worden verwerkt. Zo is naar het oordeel van de regering een goede balans gevonden tussen regeling in de wet zelf en in de instellingsregeling.
Met het oog op de overzichtelijkheid en toegankelijkheid van de AVG en het daarop gebaseerde nationale gegevensbeschermingsrecht is van belang dat duidelijkheid bestaat over wat in de UAVG en wat in sectorale wetten is geregeld. In de toelichting bij het eerdere wetsvoorstel UAVG is met het oog daarop als uitgangspunt geformuleerd dat uitzonderingen, en rechtsgrondslagen voor de verwerking van (bijzondere) persoonsgegevens voor het vervullen van een publieke taak of wettelijke verplichting doorgaans worden gegeven in sectorspecifieke wetgeving.26 Dit uitgangspunt leidt ertoe dat in de UAVG met name regelingen zijn te vinden die het belang van een specifieke sector overstijgen.
De Afdeling acht het wenselijk dat dit uitgangspunt ook gehanteerd wordt bij wijzigingen van de op de AVG gebaseerde uitvoeringswetgeving. In dat verband rijst de vraag in hoeverre die lijn steeds consequent is doorgetrokken in het onderhavige wetsvoorstel. Zo regelt het voorstel de uitzondering voor de verwerking van bijzondere categorieën van persoonsgegevens door accountants deels in de UAVG en deels in sectorale wetten.27
Uit de toelichting blijkt niet waarom ervoor is gekozen om tevens in de UAVG een uitzondering op te nemen. Voor zover het wenselijk wordt geacht om te verduidelijken dat het accountants is toegestaan bijzondere persoonsgegevens te verwerken, ligt een verduidelijking in de vorm van een bepaling in de UAVG, gelet op het bovenstaande uitgangspunt, niet voor de hand. De specifieke wettelijke bepalingen – op basis waarvan het accountants is toegestaan bijzondere persoonsgegevens te verwerken – zijn niet te vinden in de UAVG maar in sectorale wetgeving. De toelichting licht de keuze voor een regeling in de UAVG niet nader toe.
De Afdeling adviseert in de toelichting in te gaan op de keuze om de uitzondering voor de verwerking van bijzondere categorieën van persoonsgegevens door accountants tevens in de UAVG op te nemen en zo nodig de voorgestelde bepaling te schrappen.
De Afdeling wijst er terecht op dat in de UAVG met name regelingen zijn te vinden die het belang van een specifieke sector overstijgen. De voorgestelde regeling voor de verplichte accountantsopdrachten voldoet aan het vorenbedoelde uitgangspunt. De verplichte accountantsopdrachten zijn verspreid over een groot aantal sectorspecifieke wettelijke voorschriften zoals bijvoorbeeld de Gemeentewet, Provinciewet, de Zorgverzekeringswet en de Wet langdurige zorg. Het kan bij de bovenbedoelde wettelijke voorschriften bijvoorbeeld ook gaan om verordeningen van instellingen van de Europese Unie of van decentrale overheden. Er bestaat voor de regeling van de (verplichte) accountantsopdrachten geen algemene sectorspecifieke wet. De Wet op het accountantsberoep (Wab) regelt de aangelegenheden met betrekking tot de NBA, het accountantsregister, de onderwerping van accountants aan het tuchtrecht en de opleiding voor het accountantsberoep. De Wet toezicht accountantsorganisaties (Wta) regelt de vereiste vergunning van de Stichting Autoriteit Financiële Markten (AFM) voor accountantsorganisaties, haar openbare register van vergunninghoudende accountantsorganisaties, verplichtingen voor die organisatie en het toezicht en de handhaving van de AFM. De voorgestelde regeling voor verplichte accountantsopdrachten is daarom niet in een bepaalde sectorwet te regelen en krijgt derhalve op grond van het voorliggende wetsvoorstel een plaats in de UAVG. De voorgestelde wijzigingen van de Wab (artikel 57) en van de Wta (artikel 63aa) betreffen geen (verplichte) accountantsopdrachten maar het toezicht op de naleving door de NBA respectievelijk de AFM. De memorie van toelichting is conform het advies van de Afdeling aangevuld met een toelichting op de keuze voor opname van de voorgestelde regeling voor verplichte accountantsopdrachten in de UAVG.
Het voorstel regelt dat de curator in faillissement en de bewindvoerder in verschillende situaties en met het oog op verschillende taken persoonsgegevens kunnen verwerken. Volgens het voorstel kan:
– de curator gegevens verwerken voor zover dit noodzakelijk is voor het beheer en de vereffening van de boedel;28
– de bewindvoerder gegevens verwerken voor zover dit noodzakelijk is voor het beheer met de schuldenaar van diens zaken;29
– de Wsnp-bewindvoerder gegevens verwerken voor het toezicht op de naleving door de schuldenaar van diens verplichtingen die uit de schuldsaneringsregeling voortvloeien en voor het beheer en de vereffening van de boedel.30
Volgens de toelichting ligt de grondslag voor de verwerking van gegevens door de hiervoor genoemde actoren in de noodzaak van deze verwerking voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag die aan de verwerkingsverantwoordelijke is opgedragen.31 Dit sluit niet uit dat er in voorkomende gevallen andere grondslagen voor gegevensverwerking kunnen zijn, zoals de wettelijke verplichting of gerechtvaardigd belang, aldus de toelichting.32
De AVG kent een aantal grondslagen voor de verwerking van persoonsgegevens, waarvan tenminste één dient te kunnen worden aangewezen.33 De Afdeling merkt op dat verduidelijkt moet worden welke grondslag in de onderscheiden situaties van toepassing is. Voor zover het wetsvoorstel beoogt te kiezen voor de specifiek op de publieke sector toegesneden grondslag34 rijst de vraag in hoeverre een curator of bewindvoerder kan worden aangemerkt als zijnde belast met de uitoefening van een taak van algemeen belang of de uitoefening van openbaar gezag. Dit is mede gelet op de rechtspraak niet vanzelfsprekend.35 De toelichting gaat hier niet nader op in.
Voor zover (mede) wordt beoogd om de gegevensverwerking te baseren op de grondslag dat de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting en/of op basis van de grondslag gerechtvaardigd belang,36 dient in de toelichting te worden verhelderd in welke situaties welke van deze grondslagen van toepassing is. Ook hier dient een duidelijke keuze te worden gemaakt. In dat kader dient ook nader te worden onderbouwd op welke wijze de relevante gegevensverwerkingen voldoen aan de vereisten die de toepasselijke grondslagen stellen.
De Afdeling adviseert in de toelichting op het bovenstaande in te gaan en het wetsvoorstel zo nodig aan te passen.
De Afdeling benadrukt terecht dat voldoende duidelijk moet zijn op welke grondslag de bevoegdheid tot gegevensverwerking voor curatoren en bewindvoerders is gebaseerd. Zij verwijst daarbij naar verschillende uitspraken, die niet geheel eenduidig zijn.
Naar de opvatting van de regering is de taak van algemeen belang een passende grondslag. Zoals in de literatuur is opgemerkt, is deze grondslag voor gegevensverwerking niet uitsluitend bedoeld voor publiekrechtelijke rechtspersonen.37 Het gaat om het inhoudelijke belang dat is gediend. Het faillissement – en in dat kader de taak van de curator om de boedel te beheren en te vereffenen – zorgt voor een ordentelijk verloop van het maatschappelijk verkeer in de situatie waarin een schuldenaar niet langer in staat is om aan zijn financiële verplichtingen te voldoen. Door een duidelijke en voorspelbare wettelijke procedure te bieden waarbij de curator namens de gezamenlijke schuldeisers is belast met het beheer en de vereffening van de boedel, onder toezicht van de rechter-commissaris, weten de failliet, schuldeisers en derden waar zij aan toe zijn. Ditzelfde gaat op voor de surseance van betaling en de Wsnp en de taakuitvoering van de bewindvoerder in het kader van die procedures. De Faillissementswet en de daarin te onderscheiden faillissementsprocedure, surseance van betaling en Wsnp bieden daarmee rechtszekerheid en rechtsbescherming. Daarnaast moet er volgens vaste rechtspraak van de Hoge Raad in faillissement door de curator ook rekening worden gehouden met andere maatschappelijke belangen, zoals de continuïteit van de onderneming en behoud van werkgelegenheid. Die andere maatschappelijke belangen mag de curator onder omstandigheden ook laten prevaleren boven het belang van een individuele schuldeiser.38 Om de genoemde doelen te verwezenlijken, is het noodzakelijk dat de curator bepaalde persoonsgegevens kan verwerken. Tegelijk onderkent de regering dat goed moet worden gekeken of en in hoeverre de onderscheiden gegevensverwerkingen inderdaad voldoende aansluiten bij de door de curator te dienen maatschappelijke belangen. De toelichting bij de verschillende onderdelen is, waar nodig, aangevuld.
Volgens de toelichting sluit de letterlijke tekst van de Faillissementswet – als gevolg van maatschappelijke en jurisprudentiële ontwikkelingen – niet meer altijd aan bij de daadwerkelijke taak van de curator. Dit zou tot gevolg hebben dat niet altijd duidelijk is wanneer het is toegestaan om gegevens te verwerken. Dit geldt ook voor de bepalingen over de taakuitoefening door de bewindvoerder en Wsnp-bewindvoerder, aldus de toelichting.39 Het voorstel beoogt daarom onduidelijkheid weg te nemen door enerzijds te verwijzen naar de taakomschrijving van respectievelijk de curator, bewindvoerder en Wsnp-bewindvoerder als doeleinde voor gegevensverwerking,40 en anderzijds een niet-limitatieve opsomming te geven van gegevensverwerkingen door deze actoren die noodzakelijk worden geacht voor het verrichten van deze taken.41
De Afdeling heeft begrip voor de wens om de mogelijkheden voor gegevensverwerking te laten aansluiten bij de handelingen die curatoren en bewindvoerders heden ten dage dienen te verrichten om hun taken goed uit te kunnen voeren. Tegelijkertijd dienen persoonsgegevens zoveel mogelijk voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden te worden verzameld en verwerkt (het vereiste van doelbinding).42 Een algemene en open geformuleerde taakomschrijving43 (voor de curator wordt bijvoorbeeld gewezen op «het beheer en de vereffening van de boedel») kan hiermee op gespannen voet staan.
De Afdeling constateert dat het voor een betrokkene moeilijk kan zijn om zich een beeld te vormen van taken die als gevolg van maatschappelijke en jurisprudentiële ontwikkelingen moeten worden geacht onderdeel te zijn geworden van in algemene bewoordingen vervatte taakomschrijvingen van curatoren en (Wsnp-) bewindvoerders, zonder dat deze taken in de wet of elders zijn geëxpliciteerd. De niet-limitatieve opsomming van concrete handelingen zorgt weliswaar voor meer zekerheid omtrent de reikwijdte van deze taken, maar laat onverlet dat voor de verwerking van persoonsgegevens die niet onder een van deze handelingen vallen, kan worden teruggevallen op de algemene taakomschrijving.
De Afdeling adviseert in de toelichting op het voorgaande in te gaan en zo nodig de voorgestelde regeling aan te passen.
De regering ziet, in navolging van de Afdeling advisering, een spanningsveld tussen enerzijds de wens om de grondslag voor de bevoegdheid tot gegevensverwerking voor de curator te laten aansluiten op de praktijk en daarbij voldoende flexibiliteit te betrachten, en anderzijds de opdracht voortvloeiende uit de AVG om voldoende concreet te formuleren voor welke werkzaamheden persoonsgegevens mogen worden verwerkt. Daarbij ziet de regering het risico dat de afdeling schetst, namelijk dat onvoldoende duidelijk is welke handelingen en bijbehorende gegevensverwerkingen kunnen worden gebaseerd op de algemene taak van beheer en vereffening. Daarom worden op navolgende wijze het voorstel en de toelichting aangepast.
Ten eerste wordt de algemene taakomschrijving aangepast en ingeperkt, zodat de curator persoonsgegevens kan verwerken voor zover dit op grond van de wet noodzakelijk is voor het beheer en de vereffening van de boedel. Door toe te voegen dat het alleen om verwerkingen gaat die op grond van de wet noodzakelijk zijn, kan niet meer in alle gevallen worden teruggevallen op de algemene taakomschrijving. Er zal in alle gevallen een voldoende specifieke wettelijke omschrijving in de Faillissementswet moeten zijn voor verwerking van persoonsgegevens. Het tweede lid geeft daarvoor een lijst met handelingen die in ieder geval deze basis bieden en die noodzakelijk zijn om de taak van beheer en vereffening te vervullen.44 De lijst wordt aangevuld met een mogelijkheid om bij algemene maatregel van bestuur aanvullende handelingen aan te wijzen waarvoor eveneens gegevensverwerking noodzakelijk is. Op deze wijze kan voldoende snel en flexibel worden ingespeeld op de ontwikkelingen in de praktijk, terwijl tegelijk meer zekerheid wordt gegeven welke gegevensverwerkingen op grond van de wettelijke taak al dan niet zijn toegestaan. Tot slot wordt in de toelichting verder verduidelijkt dat een gegevensverwerking die niet in het voorgestelde artikel 68a, 215b of 316a is opgenomen of elders in de Faillissementswet zijn basis vindt, op een andere grondslag in de AVG gebaseerd kan zijn, zoals overeenkomst, wettelijke plicht of gerechtvaardigd belang.
Het voorgaande leidt tot het volgende systeem.
(1) Wanneer een curator of bewindvoerder zich in het kader van zijn taakuitoefening genoodzaakt ziet om gegevens te verwerken, stelt hij vast op grond van welke wettelijke bepaling in de Faillissementswet hij bevoegd is om deze gegevens te verwerken. Daarvoor kijkt de curator respectievelijk bewindvoerder allereerst of de voorgenomen handeling in de lijst van artikel 68a, tweede lid, respectievelijk 215b, tweede lid of 316a, tweede lid is opgenomen. Is dit het geval, dan kan hij de gegevensverwerking op deze bepaling baseren.
(2) Is de voorgenomen handeling niet expliciet opgenomen op de lijst, maar wel in de wet voldoende specifiek omschreven, dan kan de curator de gegevensverwerking zo nodig op het eerste lid baseren.
(3) Is de voorgenomen handelingen niet opgenomen op de lijst en evenmin voldoende specifiek in de wet omschreven, dan zal de curator op basis van de overige in artikel 6 van de AVG genoemde gronden, zoals overeenkomst (eerste lid, aanhef en onder b, wettelijke verplichting (eerste lid, aanhef en onder c, of gerechtvaardigd belang (eerste lid, aanhef en onder f) moeten beoordelen of gegevensverwerking is toegestaan.
Zoals hiervoor aan de orde kwam regelt het wetsvoorstel dat een aantal financiële ondernemingen in het kader van het uitvoeren van transactiemonitoring zo nodig ook geautomatiseerd transacties kunnen blokkeren of opschorten als hiervoor aanleiding is en indien aan een aantal voorwaarden wordt voldaan.45 In dat kader wordt de verplichting tot het uitvoeren van transactiemonitoring nu expliciet in de wet opgenomen. Met dat laatste is geen verandering van de praktijk beoogd; volgens de toelichting is de mogelijkheid om bij de uitvoering van transactiemonitoring transacties geautomatiseerd te blokkeren of op te schorten reeds geregeld in de wet, doordat is bepaald dat bepaalde ondernemingen een integere bedrijfsvoering dienen te voeren.46 De toelichting vermeldt dat het met het oog op de uit de AVG voortvloeiende uitvoeringsregels voor de hand ligt om ook de verplichting tot het uitvoeren van transactiemonitoring zelf in de wet op te nemen.
De Afdeling constateert dat het toezicht op de naleving van deze bepaling zal plaatsvinden in het kader van de beoordeling of een bepaalde onderneming werkzaam mag zijn op de financiële markten, en de in dat kader toepasselijke norm een voorwaarde voor het verrichten van diensten betreft.47 Zij merkt op dat als gevolg van het voorstel de wet gaat gelden voor een groep financiële ondernemingen waarvoor momenteel geen verplichting tot transactiemonitoring lijkt te bestaan.48 De lijst van ondernemingen in artikel 14, vierde lid, van het Besluit prudentiële regels Wft, waarnaar de toelichting verwijst, is immers beperkter dat de lijst van ondernemingen waarvoor de voorgestelde bepaling zou gaan gelden.49 De toelichting gaat hier niet nader op in.
De Afdeling adviseert in de toelichting in te gaan op de uitbreiding van de groep financiële ondernemingen op wie de verplichting tot transactiemonitoring komt te rusten en zo nodig het voorstel aan te passen.
Naar aanleiding van de opmerking van de Afdeling is het wetsvoorstel en de memorie van toelichting aangepast in die zin dat daarin is aangegeven dat de groep financiële ondernemingen waarvoor de voorgestelde verduidelijking van de verplichting tot transactiemonitoring gaat gelden dezelfde is als de groep financiële ondernemingen waarvoor die verplichting nu al geldt op grond van artikel 3:17, eerste lid, Wft, te weten banken en betaalinstellingen.
Op grond van de AVG kunnen uitzonderingen worden gemaakt op de rechten van betrokkene en op de meldplicht bij een inbreuk.50 De UAVG vult deze ruimte in, en voorziet erin dat de verwerkingsverantwoordelijke de reikwijdte kan beperken van een aantal in de AVG geregelde verplichtingen en rechten.51 Het voorstel wijzigt deze bepaling in de UAVG om daarmee aan te sluiten bij de letterlijke tekst van de AVG. Hiermee kan ook de reikwijdte beperkt worden van de verplichtingen en rechten «zoals bedoeld in artikel 5 voor zover de bepalingen van dat artikel overeenkomen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 21 van de AVG».52 Volgens de toelichting wordt uitdrukkelijk niet beoogd om mogelijk te maken dat verwerkingsverantwoordelijken de doelbinding doorbreken op grond van deze bepaling.53 Dit blijkt ook uit de tekst van de voorgestelde wijziging, aldus de toelichting.54
De voorgestelde wijziging roept de nodige vragen op. Zo blijft onduidelijk van welke in artikel 5 AVG neergelegde beginselen al dan niet kan worden afgeweken en in hoeverre deze beginselen, volgens de nieuwe tekst, «overeenkomen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met 21 van de AVG». Dit blijkt niet duidelijk uit de tekst van het voorstel, noch uit de toelichting. De voorgestelde wijzing compliceert daarmee de uitvoering van de bepaling voor zowel de betrokkene als de verwerkingsverantwoordelijke. De Afdeling wijst er daarbij op dat de regering heeft toegezegd om, naar aanleiding van het advies van de AP, nader te bezien of de bepaling mogelijk geschrapt of (fundamenteel) gewijzigd moet worden.55
Gelet op het voorgaande adviseert de Afdeling vooralsnog af te zien van de voorgestelde wijziging en de voorgestelde bepaling pas te wijzigen na nader onderzoek.
Naar aanleiding van de opmerkingen van de Afdeling heeft het kabinet besloten de bedoelde bepaling pas te wijzigen na nader onderzoek en het concept wetsvoorstel is hierop aangepast.
Het voorstel creëert een delegatiegrondslag voor het regelen van de gegevensverwerking door commissies en adviescolleges.56 Daarmee kan in de regeling ter instelling van een commissie of adviescollege worden voorzien in de eisen van de AVG. Deze delegatiegrondslag wordt slechts gebruikt als vanwege het urgente maatschappelijke belang niet kan worden gewacht totdat een formeel wettelijke grondslag is gecreëerd in de vorm van een taak van algemeen belang, en het ook niet in alle gevallen mogelijk zal zijn om de verwerking van de persoonsgegevens door de commissie bijvoorbeeld op de grondslag «toestemming» te baseren of een grondslag te vinden in een van de Minister afgeleide taak van algemeen belang, zo vermeldt de toelichting.57
De Afdeling merkt op dat de reikwijdte van deze delegatiegrondslag niet voldoende duidelijk is. Het voorstel spreekt over commissies in de zin van de Wet vergoedingen adviescolleges en commissies, en adviescolleges in de zin van de Kaderwet adviescolleges. Vervolgens beperkt de voorgestelde bepaling zich tot de commissies en adviescolleges die als opdracht hebben «om voortvarend onderzoek te doen naar een specifiek en afgebakend onderwerp». Daarmee lijkt de regeling ten eerste niet van toepassing op commissies die geen onderzoek doen, maar een regeling uitvoeren. Ten tweede zijn er commissies waar de genoemde voortvarendheid minder prominent aan de orde is. Voor dergelijke commissies kan echter een adequate regeling van de gegevensverwerking eveneens van belang zijn.
Het voorgaande hangt samen met de vraag naar de verwerkingsverantwoordelijkheid. De Afdeling merkt op dat noch het wetsvoorstel, noch de toelichting ingaat op de vraag of in de instellingsregeling ook wordt geregeld wie verwerkingsverantwoordelijke zal zijn. Waar in de instellingsregeling een grondslag wordt geregeld, zoals een algemeen belang waarop de commissie of adviescollege zich kan beroepen, zal de verwerkingsverantwoordelijkheid, zo mag worden aangenomen, ook bij deze commissie of adviescollege liggen.58
Valt een commissie echter buiten de reikwijdte van de voorgestelde regeling omdat zij strikt genomen geen onderzoek doet naar een specifiek onderwerp, dan zal zij zich moeten baseren op een andere grondslag, zoals toestemming of een van de Minister afgeleid algemeen belang. Vanwege de beoogde onafhankelijkheid van commissies is meer duidelijkheid omtrent de verwerkingsverantwoordelijkheid gewenst.
De Afdeling adviseert het wetsvoorstel op deze punten aan te passen.
Naar aanleiding van de opmerkingen van de Afdeling heeft de regering er voor gekozen de delegatiegrondslag te wijzigen en deze regeling te laten gelden voor alle tijdelijke commissies en tijdelijke adviescolleges als bedoeld in de Kaderwet adviescolleges en de Wet vergoedingen adviescolleges en commissies die zijn ingesteld bij Koninklijk of ministerieel besluit of ministeriële regeling. Dit betekent dat meer commissies onder het artikel komen te vallen, inclusief adviescolleges en commissies die een regeling uitvoeren of waarbij de eerdergenoemde voortvarendheid niet aan de orde is. Wel geldt steeds dat gaat om tijdelijke commissies en adviescolleges. Dit betekent dus een duidelijkere afbakening, maar ook dat meer commissies en adviescolleges onder deze regeling komen te vallen.
Ook is naar aanleiding van de opmerkingen van de Afdeling bepaald dat in de instellingsregeling de verwerkingsverantwoordelijke moet worden aangewezen.
Redactionele bijlage bij het advies van de Afdeling advisering van de Raad van State betreffende no. W16.21.0372/II:
– Aan het einde van voorgesteld artikel 5, tweede lid, UAVG, toevoegen «voor zover het een aangelegenheid betreft waarvoor de betrokkene onbekwaam dan wel onbevoegd is». Dezelfde zinsnede dient te worden toegevoegd aan voorgesteld artikel 5, derde lid, UAVG;
– In artikel 5, zesde lid, UAVG, na «voor zover een bijzondere regeling» het woord «voor» verwijderen;
– In artikel 33, vijfde lid, UAVG, na «indien de verwerking noodzakelijk is voor een door een accountant» de komma verwijderen;
– In artikel 68a, tweede lid, onderdeel n, Fw, «de» verwijderen in de zinsnede «bedoeld in de artikel 140»;
– Aan artikelen 181 en 182, vijfde lid, WVW 1994, en artikel 5, tweede lid, Wahv, toevoegen door wie de persoonsgegevens mogen worden verwerkt;
– In artikel 9, tweede lid, Wet op de rechtsbijstand specificeren welke wettelijke bepaling «een overeenkomst met het bestuur ter uitvoering van diens taken» voorschrijft
De opmerkingen in de hierboven genoemde redactionele bijlage van de Afdeling zijn, met uitzondering van het laatste punt over de Wet op de rechtsbijstand, verwerkt in het wetsvoorstel. Het derde lid van het voorgestelde artikel 5 is naar aanleiding van de opmerking anders geredigeerd.
Het advies van de Afdeling Advisering om in het voorgestelde artikel 9, tweede lid, van de Wet op de rechtsbijstand (Wrb) te specificeren welke wettelijke bepaling «een overeenkomst met het bestuur ter uitvoering van diens taken» voorschrijft, is niet gevolgd, aangezien de reikwijdte van het voorgestelde artikel 9, tweede lid, Wrb daarmee verder zou worden beperkt dan is beoogd.
Het tweede lid heeft niet alleen betrekking op die situaties waarin de Wrb de raad voor rechtsbijstand uitdrukkelijk verplicht tot het sluiten van een overeenkomst ter uitvoering van zijn taken, maar ook op situaties waarin de raad als zelfstandig bestuursorgaan met rechtspersoonlijkheid dergelijke overeenkomsten met derden aangaat zonder dat de Wrb daartoe verplicht. In dit verband wordt onder meer gedacht aan taken als de inrichting en subsidiëring van voorzieningen (de artikelen 7, tweede lid, 8, tweede lid, en 42b Wrb) en de subsidiering van bijzondere doeleinden en projecten (de artikelen 37b, eerste lid, 37c en 42c Wrb). Hoewel de Wrb daarbij niet uitdrukkelijk verplicht tot het sluiten van overeenkomsten, is daarvan in de praktijk veelal echter wel sprake. Het gaat hierbij overigens niet alleen om overeenkomsten met derden die gesubsidieerde rechtsbijstand op grond van de Wrb verlenen. Zo werkt de raad met het oog op de efficiënte organisatie van rechtsbijstand ook samen met derden die buiten het stelsel van de gesubsidieerde rechtsbijstand rechtskundige of maatschappelijke hulp verlenen, zoals sociaal raadslieden en gemeentelijke schuldhulpverleners, en die burgers naar het Juridisch Loket van de raad doorverwijzen of hen hulp verlenen nadat zij door het Juridisch Loket zijn doorverwezen.
Voorts is van de gelegenheid gebruik gemaakt om nog enkele technische wijzigingen mee te nemen in dit wetsvoorstel.
Het gaat om een wijziging van artikel 30 UAVG. Abusievelijk is een verwijzing in het derde lid van dit artikel naar artikel 9, sub g van de AVG die wel in de internetconsultatieversie van dit wetsvoorstel was meegenomen, niet opgenomen in de versie die naar de Afdeling is gestuurd. Deze verwijzing is alsnog opgenomen.
Ook wordt in het tweede lid van artikel 23a van de Wet politiegegevens een verwijzing naar de Koninklijke Marechaussee opgenomen, die abusievelijk niet is meegenomen bij de invoeging van artikel 23a in de Verzamelwet Justitie en Veiligheid (Stb. 2022, 345).
Tot slot worden in de Wet marktordening gezondheidszorg enkele verwijzingen naar het College Bescherming Persoonsgegevens vervangen door de Autoriteit Persoonsgegevens.
De Afdeling advisering van de Raad van State heeft een aantal opmerkingen bij het voorstel en adviseert daarmee rekening te houden voordat het voorstel bij de Tweede Kamer der Staten-Generaal wordt ingediend.
De vice-president van de Raad van State,
Th.C. de Graaf
Ik moge U hierbij, mede namens mijn ambtsgenoot van binnenlandse zaken en koninkrijksrelaties, verzoeken het gewijzigde voorstel van wet en de gewijzigde memorie van toelichting aan de Tweede Kamer der Staten-Generaal te zenden.
De Minister voor Rechtsbescherming, F.M. Weerwind