Is er ook één Europese privacywet?

De AVG is, zoals de wet het al zegt, een verordening. Een verordening heeft een rechtstreekste werking in de lidstaten. Bij bepaalde artikelen hebben de EU-lidstaten de ruimte om af te wijken van de wet. Dit wordt geregeld in de uitvoeringswet. In Nederland gebeurt dit middels de Uitvoeringswet AVG. De voorganger van de AVG was een richtlijn. Het verschil? Een richtlijn moet eerst door de lidstaten worden omgezet in de nationale wetgeving. In Nederland was dit de Wet bescherming persoonsgegevens.

Wil dit zeggen dat er anno 2020 geen (dan wel niet significante) verschillen zijn in de interpretatie van de AVG door de privacytoezichthouders van de EU-lidstaten? Nee helaas, hier kunnen wel degelijk verschillen in zitten, met alle gevolgen van dien. Zo is het inmiddels algemeen bekend dat onze eigen toezichthouder, de Autoriteit Persoonsgegevens (AP), een strikte leer hanteert. Dit komt voornamelijk terug bij de verwerkingsgrond toestemming. Waar de meesten van ons ondertussen ‘toestemmingsmoe’ zijn geworden voor het telkens verlenen van toestemming, lijkt de AP juist pas te beginnen.  

In de AVG is, als één van de zes grondslagen, opgenomen dat de verwerking van persoonsgegevens is toegestaan als de persoon om wie het gaat toestemming heeft verleend. Volgens de AP kan deze toestemming in een arbeidsrechtelijke verhouding echter nooit vrijelijk gegeven worden. De gedachte hierachter is dat de werknemer in een afhankelijke relatie tot de werkgever staat. Door deze strikte leer te hanteren wordt in gevallen waarbij geen andere grondslag voor handen is, een verwerking volledig geblokkeerd.

Nota bene het Europees Comité voor gegevensbescherming, ook wel the European Data Protection Board (“EDPB”) verschilt van mening met de AP

Mijns inziens is dit niet conform de geest van de wet. Bovendien ben ik niet de enige die hier zo over denkt.  Nota bene het Europees Comité voor gegevensbescherming, ook wel the European Data Protection Board (“EDPB”) verschilt van mening met de AP. De EDPB is een onafhankelijk Europees orgaan en draagt bij aan de consequente toepassing van regels voor gegevensbescherming in de gehele EU. Dit doet ze door regelmatig richtlijnen rondom verschillende onderwerpen (waaronder de verwerkingsgrond toestemming) te publiceren. In de meest recente versie voor de richtlijn van de verwerkingsgrond toestemming bevestigt de EDPB dat in de meeste gevallen toestemming in een arbeidsrechtelijke relatie inderdaad niet mogelijk is, maar sluit deze grondslag niet volledig uit. Sterker nog, de EDPB geeft zelfs aan dat dit in sommige gevallen mogelijk is en geeft als voorbeeld een situatie waarin er gefilmd wordt op de werkvloer en de werknemer hierbij in staat is om vrijelijk toestemming te geven of ze in beeld willen komen. De strikte leer van de AP kan in de praktijk dus een onwerkbare situatie veroorzaken.

Het verschil in interpretatie van de AVG is pijnlijk duidelijk geworden tijdens de coronacrisis. Zo was de AP al snel van mening dat het opmeten van de temperatuur van de werknemers door de werkgever niet is toegestaan en dat werkgevers een hoge boete riskeerden. Daar dacht de Belgische privacywaakhond, de Gegevensbeschermingsautoriteit (GBA), echter  anders over. En terecht. De GBA gaf aan dat de AVG helemaal niet van toepassing is indien de temperatuur van de werknemer wordt afgelezen en deze gegevens niet worden geregistreerd, ofwel verwerkt. Even later ‘draait’ de AP en nuanceert haar standpunt conform haar Belgische collega’s. Interessant detail: de ‘draai’ gebeurt in stilte en wordt dus niet met het publiek gecommuniceerd. Indien je  op de hoogte wilt zijn van het laatste standpunt van de AP is het dus blijkbaar noodzakelijk om dagelijks hun website in de gaten te houden.   

Het kan toch niet zo zijn dat de AVG, een verordening die in alle landen hetzelfde is, per land zo afwijkt?

Het kan toch niet zo zijn dat de AVG, een verordening die in alle landen hetzelfde is, per land zo afwijkt? Horen de toezichthouders niet op één lijn te zitten? Naar mijn mening is dit een kwalijke zaak. Zoals de AP zelf stelt op haar website is één van de taken van de AP: ‘Helderheid verschaffen aan organisaties over de uitleg van wettelijke normen’. Naar mijn mening heeft de AP weinig duidelijkheid verschaft. Het constant draaien en bijstellen van haar standpunten heeft in sommige gevallen zelfs meer onduidelijkheid en onrust bij organisaties veroorzaakt. Dit geldt des te meer voor organisaties die in verschillende EU-landen zijn gevestigd. Ik hoop dat bij de viering van de volgende ‘AVG-verjaardag’ de toezichthouders meer zullen overleggen en op één lijn zitten wat betreft de interpretatie van de AVG. Tot die tijd houd ik de website van de AP goed in de gaten.