Een uitbestede salarisadministratie. Het zogeheten ‘recht op vergetelheid’. Tijdens de workshop Civiel recht van de SSR-themadag ‘Privacy’ op 28 september kwamen de gevolgen van de AVG via een reeks casussen voorbij. Workshopleider Doeke Kingma: “Als ik de foto’s van de buurtbarbecue op Facebook zet, is dat gegevensverwerking?”
Het snijvlak tussen het AVG en het civiel recht levert vele boeiende casussen op, zo bleek uit de workshop van raadsheer Civiel Doeke Kingma en advocaat Margriet Hennekens. Neem het principe dat luistert naar de welluidende naam ‘het recht op vergetelheid’. “Dat gaat over het recht persoonsgegevens op internet onzichtbaar te maken voor de buitenwereld”, legt Kingma uit. “Dit heeft te maken met de razendsnelle ontwikkeling van Internet en zoekmachines als Google. Tik een persoonsnaam in en je krijgt een hele reeks persoonlijke gegevens te zien.” De oude privacyrichtlijn uit 1995 was heel gedateerd. Toen stond internet nog in de kinderschoenen. “Maar door het arrest Google-Spain van het Europese Hof in Luxemburg verruimde het recht om bepaalde zaken op internet onzichtbaar te laten maken. “Dit recht op vergetelheid wordt in de AVG nader uitgewerkt”, aldus Kingma.
AVG scherpt aan
Een andere concrete casus. De salarisadministratie wordt tegenwoordig meestal uitbesteed aan een ICT-bedrijf. “Op die manier wordt dienstverlening ingehuurd om de gegevensverwerking uit te voeren”, stelt Kingma. “Wat betekent dat voor de verwerkingsovereenkomst? Welke rechten en verplichtingen hebben beide partijen? Dit wordt allemaal opnieuw vormgegeven door de AVG.” Zorgt dat voor grote veranderingen?, was een vraag die in de workshop terugkwam. “De AVG zorgt niet voor werkelijke veranderingen. Het gaat meer om een aanscherping en explicering van de normen en een grotere doorwerking op Europees niveau.”
Google en Facebook
Wat voegt de AVG toe? Wat verandert er? Het zijn vragen die opduiken in de workshop. Is er door de AVG meer aandacht voor privacy? “Dat kan, het zal moeten blijken”, zegt Kingma, die vanuit zijn positie als raadsheer voorzichtig is om zich daar nadrukkelijk over uit te spreken. “Wel is het zo dat de maatschappij meer belang aan privacy hecht, het is voor mensen veel belangrijker geworden. ” Door internet is het aantal privacyzaken ook groter geworden. Vanuit de zaal kwamen dan veel vragen rond Google en Facebook. “Als ik op Facebook een foto van de buurtbarbecue zet, is er dan sprake van gegevensverwerking?”, geeft Kingma een voorbeeld. “Niet als het puur gaat om een natuurlijk persoon, wel als het gaat om de Facebook-pagina van een bedrijf.”
Aansprakelijkheid datalek
Ook de rol van de Autoriteit Persoonsgegevens kwam aan bod. “Die mogen nu hogere boetes opleggen”, zegt Kingma. “De EU heeft daarmee de handhaving van het recht op privacy versterkt.” Sowieso is de nieuwe verhouding tussen het EU-rechtssysteem en dat van de afzonderlijke lidstaten een punt van aandacht. “In de AVG hebben Nederlandse rechters minder ruimte het nationale privacyrecht toe passen.” Een interessant aspect is ook de link tussen eigen aansprakelijkheid en een eventuele schadevergoeding, besluit Kingma. “Wie is er aansprakelijk voor een datalek als een bedrijf deze data verwerkt in opdracht van een andere partij? Dat hangt er vanaf. De opdrachtgever kan verantwoordelijk zijn maar ook de uitvoerder, bijvoorbeeld als deze niet heeft voldaan aan de instructies van de opdrachtgever.”
Een algemeen verslag van de themadag Privacy leest u hier.