Thread by @PrivaSense

1/ Uitstekende column van @TijmenWisman.
Met kanttekening dat NL er juist voor heeft geijverd om de volledige doorbreking van de doelbinding zoals voorgesteld door de EurCie in art. 6.4 #AVG af te zwakken naar de regeling die we al kenden in art. 9(2) Wbp.
bijvoorbaatverdacht.nl/het-dreigende-…

2/ In het oorspronkelijke voorstel (2012) stond in art. 6.4 #AVG dat IEDER nevengebruik van gegevens was toegestaan, zolang er maar een nieuwe grondslag was. NL heeft er voor geijverd om dit in lijn te brengen met het advies WP 203 van de Art. 29 Werkgroep (en art. 9 lid 2 Wbp)

3/ Nevengebruik mag ex art. 6.4 #AVG maar in 3 gevallen:
1. Wettelijk verplichting (mits binnen grenzen art. 8 EVRM en art. 52 Handvest).
2. Restrictieve belangenafweging, waarbij de contextuele integriteit en de waarborgen voorop staan, of
3. Toestemming van de betrokkene.

4/ Art. 6(4) #AVG is dus een apart stel grondslagen voor nevengebruik van data, dat in hoofdregel wordt toegestaan door art. 5.1.b AVG. Het uitgebreidere art. 6.1 is, anders dan velen denken, dus niet relevant voor nevengebruik.

5/ Daarmee is de regeling voor nevengebruik in de AVG hetzelfde als in de Wbp. Het problematische nevengebruik waar @TijmenWisman op doelt volgt vooral uit wetgeving waarvan men zich mag afvragen of die binnen de grenzen van het EVRM/Handvest blijft (SyRI bijvoorbeeld niet dus).

6/ De Tweede en Eerste Kamer en de Raad van State moeten daar veel beter op gaan letten. Maar het begint er al mee dat in de PIA die op de departementen wordt uitgevoerd, meer aandacht is voor de grondrechtelijke aspecten van overheidsverwerkingen en niet alleen maar voor de #AVG

7/ En dat de keuzes die de regering maakt over datawerkingen expliciet in een grondrechten- en #AVG paragraaf in de Memories van Toelichting worden opgenomen. #privacy

8/ Ook niet onbelangrijk is dat wetsvoorstellen niet alleen doeleinden en bevoegdheden moeten regelen, maar als het spannend is ook een informatie(uitwisselings)regeling moeten bevatten.

9/ Voorbeeld: Art. 107 lid 7 Vreemdelingenwet. Ja, de politie mag gegevens opvragen bij het COA in het kader van het vreemdelingentoezicht, maar dat kan uit grondrechtelijk oogpunt dus niet iedere dag de hele database zijn. nrc.nl/nieuws/2021/01…

10/ #Privacy- en #gegevensbescherming is bij veel departementen helaas nog steeds geen Chefsache. Met alle respect voor de hardwerkende Privacy Officers en FG’s, zolang de politieke leiding, de SG’s en DG’s hier geen oog voor hebben, zullen er ongelukken blijven gebeuren. #AVG

11/ Even terug komend op de column van @TijmenWisman: de oorspronkelijke regeling van art. 6.4 #AVG zou de deur voor ongebreideld nevengebruik van data wagenwijd hebben opengezet. Juist binnen de overheid is dat problematisch. Democratische controle zou een illusie zijn geworden.

12/ Nu mag de overheid alleen binnen de grenzen van de restrictieve belangenafwegingseisen van art. 6.4 #AVG gegevens uitwisselen met andere instanties. Voor bredere gegevensdeling moet ze eerst een wet maken met alle waarborgen die het EVRM en het Handvest eisen.

13/ Maar je mag van art. 6.4 #AVG toch ook toestemming vragen? Ja, maar dat kan de overheid dus in beginsel niet (zie overweging 43 AVG over machtsongelijkheid).

Slechte woordkeus, bedenk ik me nu. Beter was geweest: Nederland heeft zich juist ingespannen om de doelbinding in art. 6.4 #AVG te versterken in lijn met art. 9 lid 2 Wbp.