Einde inhoudsopgave
De beveiliging van persoonsgegevens (O&R nr. 135) 2022/5.3.1
5.3.1 Inleiding en algemeen
mr. J.A. Hofman, datum 01-07-2022
- Datum
01-07-2022
- Auteur
mr. J.A. Hofman
- JCDI
JCDI:ADS660873:1
- Vakgebied(en)
Privacy (V)
Voetnoten
Voetnoten
Preambule AVG, o. 2. Hierin wordt niet letterlijk naar het doel verwezen. Gezien de opzet van de overweging, waarvan het eerste deel overduidelijk naar het eerste doel van de AVG verwijst, en het verband dat van oudsher tussen het vrije verkeer van persoonsgegevens en de totstandkoming van de interne markt wordt aangebracht (zie hierna), is de conclusie dat hiermee naar het tweede doel van de AVG wordt verwezen, naar mijn mening echter gerechtvaardigd.
De term ‘economische en sociale vooruitgang’ komt ook terug in de preambules van de VEU en VWEU. Hieruit blijkt dat de verzekering van deze vooruitgang vereist dat de barrières die Europa verdelen worden verwijderd (VEU) en dat, gezien de voltooiing van de interne markt een beleid wordt gevoerd dat borg staat voor vooruitgang op het gebied van economische integratie (VWEU). Dat de economische en sociale voortuitgang in het kader van de bescherming van persoonsgegevens is gerelateerd aan de interne markt, blijkt uit bijv. preambule AVG, o. 5.
Zowel de EU als haar lidstaten moeten regels treffen om deze doelen te realiseren (art. 4 lid 2 onder a en c jo. art. 2 lid 2 VWEU).
Lenaerts & Van Nuffel 2017, pt. 93.
HvJ EG 23 november 1999, ECLI:EU:C:1999:574, pt. 86 (Portugal v. Council). Zie ook Klamert 2019, p. 32.
De juridische basis van de voorganger van de AVG, de Dataprotectierichtlijn, was immers gelegen in de bevoegdheid van de EU-wetgever om regels te stellen ten aanzien van de interne markt. Zie i.h.b. §4.5.1. Ook vele andere regelingen aangaande het persoonsgegevensbeschermingsrecht vinden hierin hun rechtmatige basis, zoals de E-privacyrichtlijn en de Dataretentierichtlijn. Zie t.a.v. deze laatste: HvJ EU 10 februari 2009, ECLI:EU:C:2009:68 (Ierland v. Europees Parlement).
Het gaat hierbij om verwerkingen van lidstaten bij de uitvoering van werkzaamheden aangaande grenscontroles, asiel en immigratie (art. 2 lid 2 onder b AVG) en om verwerkingen van bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen – met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid (art. 2 lid 2 onder d AVG). Zie ook Boehm 2014, p. 109-114. Hoewel de uitwisseling van persoonsgegevens binnen de ruimte van vrijheid, veiligheid en recht voornamelijk zal plaatsvinden in het kader van justitiële en politiële samenwerking (Boehm 2014, p. 8. Zie over deze samenwerking Titel V VWEU, i.h.b. hfdst. 3, 4 en 5), lijkt de erkenning van beslissingen in burgerlijke zaken het enige element van de ruimte van vrijheid, veiligheid en recht te zijn dat onder de AVG valt. Het is daarom opvallend dat deze ruimte wel in de preambule wordt genoemd. Overigens worden er wel persoonsgegevens uitgewisseld in het kader van strafrechtelijk onderzoek. Hierop is niet de AVG van toepassing, maar de Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad. Zie Boehm 2014.
Het tweede doel van de AVG is beschreven in art. 1 lid 3AVG, dat bepaalt dat het vrije verkeer van persoonsgegevens in de EU niet wordt beperkt of verboden om redenen die verband houden met de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens.
De term ‘het vrije verkeer van persoonsgegevens’ wordt niet toegelicht in de AVG of een andere EU-regeling. Wel blijkt uit de preambule van de AVG dat de waarborging ervan relevant is voor verschillende aspecten van de EU. Het levert een bijdrage aan (a) de totstandkoming van een ruimte van vrijheid, veiligheid en recht, (b) de totstandkoming van een economische unie, (c) de economische en sociale vooruitgang, (d) de versterking en convergentie van economieën binnen de interne markt én (e) het welzijn van natuurlijke personen.1 Al deze kaders zijn direct of indirect gerelateerd aan een van de in art. 3 VEU beschreven doelen van de EU. Dat het vrije verkeer van persoonsgegevens niet vanwege de bescherming van natuurlijke personen mag worden beperkt, heeft dus te maken met de realisatie van verschillende Europese basisambities.
De term ‘ruimte van vrijheid, veiligheid en recht’ verwijst naar art. 3 lid 2 VWEU, dat bepaalt dat de EU haar burgers dergelijke ruimte biedt.2 Om deze ruimte tot stand te laten komen, treft de EU regels op het gebied van vele verschillende Europese beleidsterreinen. Onder meer asiel, immigratie, controle aan de buitengrenzen, criminaliteit, de samenwerking tussen politiële en justitiële autoriteiten in strafzaken en de erkenning van beslissingen in zowel straf- als burgerlijke zaken zijn onderwerpen die vallen binnen het concept van ‘de ruimte van vrijheid, veiligheid en recht’.3
De meeste andere kaders waarbinnen de vrijheid van persoonsgegevens van belang is, betreffen de Europese economie. Het gaat hierbij om de totstandkoming van een economische unie, de versterking en convergentie van economieën binnen de interne markt en de met de AVG beoogde economische en sociale vooruitgang.4 Deze kaders lijken terug te voeren op twee doelstellingen van de EU: de totstandbrenging van de interne markt (art. 3 lid 3 VEU) en de instelling van de economische (en monetaire) unie (art. 3 lid 4 VEU).5
De term ‘welzijn van natuurlijke personen’ lijkt tot slot te zijn ontleend aan art. 3 lid 1 VEU, dat bepaalt dat de EU ten doel heeft ‘de vrede, haar waarden en het welzijn van haar volkeren’ te bevorderen.6 Alle doelstellingen van de EU zijn van gelijke waarde.7 Ze moeten worden gerealiseerd door middel van beleid en regelgeving en kunnen bij de interpretatie van het EU-recht worden meegenomen.8 In hoeverre ze in een AVG-bepaling doorklinken, is afhankelijk van de mate waarin de betreffende bepaling bijdraagt aan het vrije verkeer van persoonsgegevens. Ik concentreer mij bij de verdere bespreking van de vrijheid van persoonsgegevens op hetgeen van belang kan zijn voor de invulling van art. 5 lid 1 onder f en 32 AVG.
Hierna bepreek ik het vrije verkeer van persoonsgegevens verder vanuit de interne markt-context.9 Deze benadering ligt gezien de geschiedenis van het persoonsgegevensbeschermingsrecht voor de hand.10 Bovendien is dit de enige context die meermaals in de preambule van de AVG terugkomt en daarbij aan het vrije verkeer van persoonsgegevens wordt gerelateerd.11 Tegelijkertijd vallen alle onderwerpen die onderdeel uitmaken van de ruimte van vrijheid, integriteit en recht buiten het materiële toepassingsbereik van de AVG.12
In het vervolg van deze paragraaf ga ik in op de bijdrage die het vrije verkeer van persoonsgegevens kan leveren aan de totstandkoming van de interne markt (§5.3.2) en op de functie van de beveiliging van persoonsgegevens daarbij (§5.3.3). Zo bespreek ik de rol van art. 5 lid 1 onder f en 32 AVG bij de realisatie van dit doel. Dit biedt inzicht in de manier waarop het doel zal doorklinken in de invulling van de AVG-beveiligingsbepalingen.