4.7.1 De AVG in het algemeen

De AVG vormt sinds mei 2018 de kern van het gegevensbeschermingsrecht. In de AVG zijn uiteenlopende onderwerpen geregeld, zoals de verplichtingen van verwerkingsverantwoordelijken en verwerkers, de rechten van betrokkenen en de bevoegdheden van de toezichthouders.1 In navolging van de Dataprotectierichtlijn kenmerkt de AVG zich onder meer door haar dubbele doelstelling: zij beschermt de grondrechten en fundamentele vrijheden van natuurlijke personen (met name hun recht op bescherming van persoonsgegevens) en bepaalt tegelijkertijd dat het vrije verkeer van persoonsgegevens in de EU niet wordt beperkt of verboden om redenen die verband houden met de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens.2 Hoewel deze doelstelling grotendeels gelijk is aan die van de Dataprotectierichtlijn, was het onder de Dataprotectierichtlijn het recht op de eerbiediging van de persoonlijke levenssfeer (ook wel het privéleven) dat ‘met name’ werd beschermd. Dit verschil, dat is terug te voeren op de tussentijdse erkenning van het recht op de bescherming van persoonsgegevens als fundamenteel recht, klinkt ook door in de grondslag van de AVG. Anders dan de Dataprotectierichtlijn, die was gebaseerd op de bevoegdheid van de EU-wetgever om regels te treffen ten aanzien van de interne markt, vindt de AVG haar grondslag in art. 16 VWEU. De gevolgen van dit alles voor de uitleg van het persoonsgegevensbeschermingsrecht, bespreek ik in §5.4.3

Gelijktijdig met het van toepassing worden van de AVG is de Dataprotectierichtlijn ingetrokken.4 De EU-wetgever achtte een nieuwe regeling noodzakelijk omdat de richtlijn onvoldoende harmonisatie teweeg had gebracht en er ten gevolge van globalisering en technische ontwikkelingen bovendien nieuwe uitdagingen waren ontstaan.5 De AVG dient ertoe een hoog, consistent en gelijkwaardig beschermings­niveau tot stand te brengen, dat wordt gesteund door strenge handhaving en in dit kader meer rechtszekerheid en praktische zekerheid te bieden aan natuurlijke personen, marktdeelnemers en overheidsinstanties. Hiermee wil de EU-wetgever zowel het recht op bescherming van persoons­gegevens als de ontwikkeling van de interne markt waarborgen.6 Om persoonsgegevens ook daadwerkelijk doeltreffend(er) te beschermen voorziet de AVG in een ‘versterking en nadere omschrijving’ van de rechten van de betrokkene en de verplichtingen van de verwerkings­verant­woordelijke en de verwerker.7 De nieuwe regeling inzake gegevensbescherming is een verordening.8 Hiermee heeft de EU-wetgever willen voorkomen dat zich onder de AVG dezelfde problemen voordoen als zich onder de Dataprotectierichtlijn voordeden.9 Deze richtlijn is dusdanig verschillend toegepast en uitgevoerd, dat zij het gewenste beschermings­niveau niet heeft kunnen bewerkstelligen.10 In tegenstelling tot richtlijnen zijn verordeningen rechtstreeks toepasselijk in alle lidstaten van de EU. De AVG hoeft dus niet te worden omgezet, hetgeen de harmonisatie ten goede komt.11