Inleiding

Op 25 mei 2018 zal binnen de gehele Europese Unie de Algemene Verordening Gegevensbescherming (hierna: AVG)¹ inwerking treden. Bekend is dat een Unierechtelijke verordening rechtstreeks toepasselijk is in lidstaten, waardoor omzetting van de bepalingen naar nationaal recht, indien deze bepalingen voldoende duidelijk en specifiek zijn, niet nodig is. Omzetting in nationale wet- en regelgeving is bij deze bepalingen volgens vaste jurisprudentie van het Europese Hof van Justitie zelfs verboden.² Hiermee wordt voorkomen dat er verwarring over de juridische werking van de verordening ontstaat. Er mag hiermee dus in beginsel naast de AVG geen nationaal recht inzake privacy bij gegevensverwerking in Nederland bestaan. Relevant bij dit verbod is het materiële toepassingsgebied van de AVG. Immers, als een gegevensverwerking niet onder de reikwijdte van de AVG valt, kan er geen sprake zijn van een verbod tot het opstellen van nationaal privacyrecht. Er ontstaat mogelijk een zekere speelruimte voor de nationale wetgever waarin hij wet- en regelgeving kan, en wellicht zelfs moet opstellen. Helaas zit de Nederlandse wetgever momenteel liever stil.

De zuivere interne situatie

Om te bepalen waar er ruimte voor nationale wetgeving bestaat, dient er zoals gezegd gekeken te worden naar het toepassingsgebied van de AVG. Het materiële toepassingsgebied van de AVG is geregeld in artikel 2 van de verordening. Artikel 2 lid 2 onderdeel a AVG bepaalt dat de verordening niet van toepassing is op verwerking van persoonsgegevens in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen. Deze bepaling is terug te voeren op artikel 16 van het Verdrag betreffende de werking van de Europese Unie, dat eenieder het recht op bescherming van zijn persoonsgegevens biedt bij de uitoefening van activiteiten die binnen het toepassingsbereik van het recht van de Unie vallen. Er dient sprake te zijn van een aanknopingspunt met EU-recht, een grensoverschrijdend aspect.

De ‘zuivere interne situatie’, een verwerking zonder enig (potentieel) grensoverschrijdend aspect, valt daarmee in beginsel buiten het kader van activiteiten van de werkingssfeer van het Unierecht en het toepassingsgebied van de AVG. Hierbij kan gedacht worden aan lokale sport- of gezelligheidsverenigingen in het midden van ons land, waarbij het zeer onwaarschijnlijk is dat persoonsgegevens van leden ooit in het buitenland terecht komen of mensen buiten Nederland lid worden van deze verenigingen. Nu lijkt er iets bijzonders aanstaande. Momenteel vallen deze ‘zuiver interne situaties’ onder het regime van de Nederlandse Wet bescherming persoonsgegevens (hierna: Wbp), omdat gegevensverwerkingen voor toepassing van nationaal recht geen grensoverschrijdend aspect behoeven te hebben. Geconcludeerd moet worden dat de ‘zuivere interne situatie’ volgens een theoretische beschouwing van artikel 2 lid 2 onderdeel a AVG niet onder het toepassingsgebied van de AVG zal vallen. Na de inwerkingtreding van de AVG zal de Wbp komen te vervallen. Hierdoor ontstaat er mogelijk het probleem dat er op ‘zuivere interne situaties’, na het vervallen van de Wbp, opeens geen privacyrecht meer van toepassing is. De eerder genoemde verenigingen zullen dan tot 25 mei 2018 bij de verwerking van e-mailadressen, betaalgegevens, telefoonnummers en thuisadressen van hun leden rekening moeten houden met allerlei waarborgen omtrent privacy, terwijl dit na 25 mei 2018 niet meer hoeft. Er ontstaat een rechtsvacuüm.

Österreichischer Rundfunk

De huidige Privacyrichtlijn, Richtlijn 95/46/EC, is geïmplementeerd in de Wbp en kent een vergelijkbare uitzondering betreffende het toepassingsgebied in ‘zuiver interne situaties’, namelijk dat verwerkingen van persoonsgegevens binnen de werkingssfeer van Gemeenschapsrecht vallende activiteiten geschieden. Deze eis van een grensoverschrijdend aspect voor de toepasbaarheid van de Privacyrichtlijn is echter door het Hof van Justitie afgezwakt. In Rechnunghof/Österreichischer Rundfunk³ bepaalt het Hof dat persoonsgegevens eenvoudig in meerdere landen van de EU terecht kunnen komen, waardoor er altijd sprake is van een grensoverschrijdend aspect. Het Hof stelt hiermee dat er eigenlijk nauwelijks sprake kan zijn van een ‘zuiver interne situatie’. Onduidelijk is echter hoe deze jurisprudentie zich verhoudt tot de AVG.

De nationale wetgever aan zet

De Nederlandse wetgever heeft deze problematiek eveneens gesignaleerd. In par. 2.2 van de memorie van toelichting bij de voorlopige Uitvoeringswet Algemene Verordening Gegevensbescherming⁴ (hierna: Uitvoeringswet AVG) benoemt de wetgever dat de lezing van artikel 2 lid 2 onderdeel a AVG een ruime uitleg van de uitzondering in toepassingsgebied impliceert. Deze ruime uitleg zou er toe leiden dat de grenzen van de werkingssfeer van de AVG onzeker en vaag worden. Dit doet afbreuk aan de harmoniserende doelstelling van de verordening en maakt deze onuitvoerbaar, aldus de memorie van toelichting. Tot zover een juiste constatering. De wetgever concludeert vervolgens dat het daarom in de rede ligt om de genoemde uitzondering beperkt uit te leggen. Hij volgt hierin uitdrukkelijk de Rundfunk-jurisprudentie van het Hof van Justitie over het toepassingsgebied van de Privacyrichtlijn. Hierdoor zouden uitsluitend gegevensverwerkingen op terreinen die in hun geheel zijn uitgezonderd van de werking van Europees recht, zoals verwerkingen in het kader van nationale veiligheid, onder de genoemde uitzondering vallen. De Nederlandse wetgever verklaart de AVG in de memorie van toelichting in feite van toepassing op nagenoeg alle gegevensverwerkingen en degradeert daarmee artikel 2 lid 2 onderdeel a AVG tot een dode letter. Ondanks jarenlang politiek en wetgevend overleg op Europees niveau, legt hij de tekst van de verordening met deze redenering volledig naast zich neer.

Hoewel deze beperkte uitleg zoals gezegd weliswaar in lijn is met de jurisprudentie van het Hof, is het een significant verschil dat de Privacyrichtlijn nu juist wél is omgezet naar nationaal recht. Doordat de Wbp reeds van toepassing is op de ‘zuiver interne situatie’, is het eveneens van toepassing verklaren van de Privacyrichtlijn op deze gevallen van gegevensverwerking een minder ingrijpende beslissing. De Nederlandse wetgever stelt in zijn eerder aangehaalde memorie van toelichting dat het nimmer de bedoeling kan zijn geweest om bij het vaststellen van het toepassingsgebied van de AVG af te wijken van de op de Privacyrichtlijn betrekking hebbende vaste jurisprudentie. Het moet echter nog maar blijken of het één-op-één overnemen van jurisprudentie op een ander soort type Europese regelgeving zal standhouden voor een rechter. Onzeker is waar een rechter zijn voorkeur aan zal geven; de memorie van toelichting bij een uitvoeringswet of de lang bediscussieerde tekst van een Europese bepaling in combinatie met het feit dat de tekst van de Uitvoeringswet AVG zelf de AVG niet van toepassing verklaart op zuiver interne situaties?

Artikel 1

De Nederlandse wetgever stevent nu af op een onnodige discussie, door het vanzelfsprekend te vinden dat de Rundfunk-jurisprudentie eveneens van toepassing is op ‘zuiver interne situaties’ onder het AVG-regime. Deze verwijzing lijkt niet zo maar afdoende, temeer wegens het zwaarder wegende gewicht dat aan Europese bepalingen ten opzichte van een nationale toelichting moet worden toegekend. Dit, terwijl de wetgever de bevoegdheid hééft om dit mogelijke rechtsvacuüm te voorkomen. Hij mag de AVG namelijk ook zelfstandig van toepassing verklaren op verwerkingen die normaliter buiten het toepassingsgebied van de verordening vallen. Daarnaast valt deze wetgeving niet onder het besproken verbod tot het opstellen van nationaal privacyrecht bij een verordening, aangezien dit verbod ziet op het overnemen van bepalingen uit de verordening zelf in nationaal recht en niet op de uitvoering ervan. Door een artikel aan de Uitvoeringswet AVG, artikel 1, toe te voegen, luidend:
‘De verordening en deze wet zijn van overeenkomstige toepassing op verwerking van persoonsgegevens binnen zuivere interne situaties.’
zal deze discussie omtrent het toepassingsgebied van de AVG voorkomen worden. Let hierbij op artikel 4 lid 1 Uitvoeringswet AVG, waarin de Nederlandse wetgever het toepassingsgebied van de AVG reeds verruimt door de verordening overeenkomstig van toepassing te verklaren bij verwerkingen van persoonsgegevens door de krijgsmacht. Dit voorstel tot het aanpassen van het wetsvoorstel en het expliciet van toepassing verklaren van de AVG op ‘zuiver interne situaties’ komt overeen met het advies van de Raad van State dat hij gaf naar aanleiding van de Uitvoeringswet AVG.⁵

Tot slot

De wetgever geeft aan te vrezen dat de werkingssfeer van de AVG onzeker en vaag zal worden indien aan artikel 2 lid 2 onderdeel a AVG een ruime uitleg op de uitzondering van het toepassingsgebied zal worden toegekend. Hij draagt nu echter zelf actief bij aan deze onzekerheid door niet wetgevend te handelen en slechts in de toelichting bij de uitvoeringswet te verwijzen naar jurisprudentie gewezen onder het regime van een geheel ander soort Europese regelgeving. De wetgever erkent het dreigende rechtsvacuüm en dient hierop adequaat te handelen. Door het nationale toepassingsgebied van de AVG op eenvoudige wijze te verruimen, zal hij een mogelijk langdurige rechtsstrijd weten te voorkomen. De internetconsultatie van de Uitvoeringswet AVG is reeds gesloten, de Raad van State heeft een gelijkluidend advies gegeven. Het is nu aan de politiek om in te grijpen. Zij is, samen met de nationale wetgever, aan zet.

Deze Opinie is verschenen in NJB 2017/61, afl. 2. Mr. S.R.P. Bastiaans is advocaat te Amsterdam bij Stibbe. Hij bedankt Jacobine van den Brink voor haar begeleiding.

1. PbEU 2016, L 119.
2. HvJ EG 7 februari 1973, C-39/72 (Commissie/Italië), ECLI:EU:C:1973:13; en HvJ EG 10 oktober 1973, C-34/73 (Variola), ECLI:EU:C:1973:101.
3. HvJ EU 20 mei 2003, C-465/00 (Rechnungshof/Österreichischer Rundfunk), ECLI:EU:C:2003:294.
4. Kamerstukken II 2017/18, 34851, 3.
5. Advies W03.17.0166/II van de Raad van State, gegeven op 10 oktober 2017, Kamerstukken II 2017/18, 34851, 4.