2.2.2.1 Algemeen

Art. 5 lid 1 onder f en 32 AVG hebben betrekking op ‘verwerkingen’ van ‘persoons­gegevens’. Deze twee begrippen staan centraal in de gehele AVG. Zij maken de kern uit van het materiële toepassingsgebied van deze verordening, dat zich in beginsel uitstrekt tot iedere “geheel of gedeeltelijk geautomatiseerde verwerking, alsmede de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen”.1 Op dit materiële toepassingsgebied bestaan enkele uitzonderingen. Zo vallen verwerkingen die natuurlijke personen bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit verrichten (zoals het maken van een adresboekje of het schrijven van brieven) niet onder de AVG.2 Wanneer een verwerking van persoonsgegevens wel binnen het materiële toepassingsgebied van de AVG valt, brengt dit verschillende rechten en verplichtingen mee, waaronder die uit art. 5 lid 1 onder f en 32 AVG. De definities van ‘persoonsgegevens’ en ‘verwerking’ zijn breed en worden door het HvJ EU ruim uitgelegd. De AVG-beveiligings­bepalingen zijn hierdoor van toepassing op vele situaties.3 Om duidelijk te maken hoe divers deze situaties (en daarmee de omstandigheden die meespelen bij de invulling van de beveiligings­bepalingen) zijn, sta ik in de komende twee paragrafen kort stil bij deze begrippen. Bij de bespreking van ‘verwerking’ ga ik ook in op de beperking van het toepassingsgebied van de AVG tot verwerkingen die (geheel of gedeeltelijk) geautomatiseerd zijn.

De AVG is slechts van toepassing indien een verwerking niet alleen binnen haar materiële toepassingsgebied valt, maar ook binnen haar territoriale toepassingsgebied. Hieronder vallen in ieder geval alle verwerkingen die plaatsvinden in het kader van de activiteiten van een zich in de EU bevindende vestiging van een verwerkings­verantwoordelijke of verwerker. Daarnaast is de AVG in veel gevallen van toepassing op verwerkingen die persoonsgegevens betreffen van natuurlijke personen die zich in de EU bevinden.4 Omdat het territoriale toepassingsgebied geen inzicht geeft in de inhoud van de AVG-beveiligingsbepalingen, en de AVG vrijwel altijd van toepassing is als er een Nederlandse partij bij een verwerking is betrokken, zal ik niet verder op deze eisen ingaan.

De AVG is op 24 mei 2016 in werking getreden en is sinds 25 mei 2018 van toepassing.5 Met haar van toepassing wording zijn de Dataprotectierichtlijn en de Nederlandse omzettingswet daarvan, de Wet bescherming persoonsgegevens, ingetrokken.6 De AVG bevat in principe geen overgangsrecht en geeft lidstaten ook niet de mogelijkheid overgangsregels ten aanzien van het materiële recht te stellen.7 De toepasselijkheid van de AVG op een concrete zaak hangt blijkens jurisprudentie van het HvJ EU af van “de datum van de feiten van het hoofdgeding”.8 De Nederlandse rechter legt dezelfde toets aan.9