Juridische inhoud

1. Situering

Sinds 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) van toepassing. Deze AVG stelt de regels vast voor de bescherming van natuurlijke personen met betrekking tot de verwerking van hun persoonsgegevens.

De AVG is rechtstreeks toepasselijk in de lidstaten. Hierdoor is een omzetting van de bepalingen naar nationaal recht niet nodig.

De lidstaten kunnen een aantal punten uit de AVG wel nog verder uitwerken.

Uitvoering AVG door Belgische wetgever

Met deze wet wil de wetgever:

• uitvoering geven aan de open bepalingen uit de AVG;

• de Richtlijn 2016/680 (voor voorkoming, onderzoek, opsporing en vervolging misdrijven) omzetten in Belgisch recht;

• afwijkende regelingen voorzien voor de overheden en verwerkingen buiten het toepassingsgebied van de EU (bijvoorbeeld de inlichtingen- en veiligheidsdiensten).

De wet voert dus niet enkel de AVG uit, maar is ook een omzetting van Richtlijn 2016/680.

2. Structuur van de wet

In de wet staan weinig bepalingen die voor een 'gewone' werkgever van belang zijn. De wetgever heeft geen gebruik gemaakt van de mogelijkheid om specifieke regels vast te leggen in het kader van de arbeidsrelatie. De AVG voorziet nochtans uitdrukkelijk dat dit kan.

In deze nieuwsbrief bespreken wij voornamelijk de bepalingen die mogelijks toch van belang kunnen zijn voor een 'gewone' werkgever.

Deze nieuwsbrief is dus geen bespreking van de volledige wet.

Voor de volledigheid geven we hieronder wel de structuur van de volledige wettekst mee:

• Voorafgaande titel: art. 1-5
  
• Titel 1: De bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens: art. 6-24
  
• Titel 2: De bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens door de bevoegde overheden met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid: art. 25-71
  
• Titel 3: De bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens door andere overheden dan die bedoeld in titels 1 en 2
• Ondertitel 1: De bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens door de inlichtingen- en veiligheidsdiensten: art. 72-104
• Ondertitel 2: De bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens door de Krijgsmacht: art. 105
• Ondertitel 3: De bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens in het kader van de wet van 11 december 1998 betreffende de classificatie en de veiligheidsmachtigingen, veiligheidsattesten en veiligheidsadviezen: art, 106-137.
• Ondertitel 4: De bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens door het coördinatieorgaan voor de dreigingsanalyse: art. 138-167
• Ondertitel 5: De bescherming van natuurlijke personen met betrekking tot bepaalde verwerkingen van persoonsgegevens door de passagiersinformatie-eenheid: art. 168-184
• Ondertitel 6: bijzondere bepalingen: art 185
  
• Titel 4: Verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden bedoeld in artikel 89, §§ 2 en 3 van de Verordening: art. 186-208
  
• Titel 5: Rechtsmiddelen en vertegenwoordiging van de betrokkenen: dit gaat over de vordering tot staking en de mogelijkheid voor de betrokkene om zich te laten vertegenwoordigen art. 209-220
  
• Titel 6: Sancties: art. 221-230
  
• Titel 7: Het controleorgaan op de politionele informatie: art. 231-251
  
• Titel 8: Slotbepalingen: art. 252-286

Merk op: in deze nieuwsbrief spreken we van 'bevoegde toezichthoudende autoriteit' in plaats van Gegevensbeschermingsautoriteit (GBA).  Deze laatste is immers niet de enige Belgische autoriteit voor gegevensbescherming. Onderzoeks-, inlichtingen- en veiligheidsdiensten en vergelijkbare diensten hebben in het kader van bepaalde activiteiten een andere toezichthoudende autoriteit dan de GBA. Voor een 'gewone' werkgever zal het wel de GBA zijn die de bevoegde toezichthoudende autoriteit is. 

3. Op wie is de wet van toepassing?

3.1. Materieel toepassingsgebied van de wet

De wet is - net als de AVG - van toepassing op elke:

• geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens. Denk hier bijvoorbeeld aan het vermelden van personen op een internetpagina met informatie over hun werksituatie.
  

• niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. Denk hier bijvoorbeeld aan de witte gids op papier.
  
  

Merk op:

De wet maakt de AVG ook van toepassing op de verwerking van persoonsgegevens:

• in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen;

• door de lidstaten binnen de context van hun activiteiten met betrekking tot het gemeenschappelijk buitenlands en veiligheidsbeleid van de Unie (titel V, hoofdstuk 2, VEU);

De bedoeling van deze uitbreiding van de AVG is ervoor te zorgen dat geen enkel domein buiten de regelgeving valt.

Immers, deze activiteiten worden door de AVG zelf uitgesloten en zouden anders in een juridisch vacuüm vallen.

Voor een gewone werkgever heeft deze uitbreiding geen invloed.

3.2. Territoriaal toepassingsgebied

Deze wet is van toepassing op de verwerking van persoonsgegevens:

• in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of een verwerker op het Belgische grondgebied. Ongeacht of de verwerking al dan niet op het Belgische grondgebied plaatsvindt.
  
  Wanneer de verwerkingsverantwoordelijke echter gevestigd is in een EU-lidstaat en beroep doet op een verwerker met vestiging op het Belgische grondgebied is het recht van de lidstaat in kwestie van toepassing op de verwerker als de verwerking plaatsvindt op het grondgebied van deze lidstaat.

• van betrokkenen die zich op het Belgische grondgebied bevinden, door een niet in de Europese Unie gevestigde verwerkings-verantwoordelijke of verwerker. Dit wanneer de verwerking verband houdt met:

• het aanbieden van goederen of diensten aan deze betrokkenen op het Belgische grondgebied, ongeacht of een betaling door de betrokkenen is vereist; of

• het monitoren van het gedrag van deze personen, voor zover dit gedrag op het Belgische grondgebied plaatsvindt.

• door een verwerkingsverantwoordelijke die niet op het Belgische grondgebied is gevestigd, maar op een plaats waar krachtens het internationaal publiekrecht het Belgische recht van toepassing is.
  
  
  

3. Verwerking van gevoelige en strafrechtelijke gegevens

3.1. Gevoelige gegevens

In principe is de verwerking van gevoelige gegevens (ras, religieuze overtuiging, geaardheid, …) verboden.

De AVG maakt hier een aantal uitzonderingen op.

Zo is de verwerking onder meer toch toegelaten onder bepaalde voorwaarden om redenen van zwaarwegend algemeen belang, op grond van Unierechtelijk of lidstatelijk recht.  

Verwerking om redenen van zwaarwegend algemeen belang

De nieuwe wet geeft uitvoering aan de AVG en bepaalt welke noodzakelijke verwerkingen van zwaarwegend algemeen belang zijn.

Het betreft bepaalde verwerkingen door:

• de instellingen voor de verdediging en de bevordering van de rechten van de mens en van de fundamentele vrijheden;

• Child Focus;

• de instellingen die instaan voor de hulpverlening aan seksueel delinquenten.

Deze domeinen beschouwt de wet als zwaarwegend algemeen belang. Geen andere. Een werkgever kan zich dus niet op deze uitzondering beroepen (tenzij hij tot een van bovenstaande instellingen behoort en dan nog slechts onder bepaalde voorwaarden, waar we in deze nieuwsbrief niet verder op ingaan).

Specifieke voorwaarden voor de verwerking van genetische, biometrische of gezondheidsgegevens

De AVG geeft de lidstaten de mogelijkheid om bijkomende voorwaarden, waaronder beperkingen, met betrekking tot de verwerking van genetische gegevens, biometrische gegevens of gegevens over gezondheid te handhaven of in te voeren.

Hier herneemt de wetgever de bestaande waarborgen.

Zo moet de verwerkingsverantwoordelijke of de verwerker:

• de categorieën van personen aanwijzen die toegang hebben tot de persoonsgegevens. Hierbij moet de hoedanigheid van deze personen ten opzichte van de verwerking worden beschreven;

• de lijst van de zo aangewezen categorieën van personen ter beschikking houden van de bevoegde toezichthoudende autoriteit;

• ervoor zorgen dat de aangewezen personen door een wettelijke of statutaire verplichting, of door een evenwaardige contractuele bepaling het vertrouwelijk karakter van de betrokken gegevens respecteren.
  

3.2. Strafrechtelijke veroordelingen en strafbare feiten

Volgens de AVG mogen persoonsgegevens inzake strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen alleen worden verwerkt:

• onder toezicht van de overheid;

• of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden.

Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden bijgehouden onder toezicht van de overheid.

Wat zegt België?

De wetgever geeft uitvoering aan deze bepaling uit de AVG.

Het betreft hier gedeeltelijk een overname van artikel 8 van de wet verwerking persoonsgegevens van 8 december 1992. Tenminste de bepalingen die nog niet in de AVG voorzien zijn. 

Hoewel de verwerking van gerechtelijke gegevens verboden is, kan hiervan worden afgeweken in volgende gevallen:

• door natuurlijke personen of door privaatrechtelijke of publiekrechtelijke rechtspersonen voor zover dat noodzakelijk is voor het beheer van hun eigen geschillen;

• door advocaten of andere juridische raadgevers in zoverre de verdediging van de belangen van hun cliënten dit vereist;

• door andere personen, indien de verwerking noodzakelijk is voor redenen van zwaarwegend algemeen belang voor het vervullen van taken van algemeen belang.  Een wet, een decreet, een ordonnantie of het recht van de Europese Unie stelt dit vast;

• voor zover de verwerking noodzakelijk is voor wetenschappelijk, historisch of statistisch onderzoek of met het oog op archivering;

• indien de betrokkene uitdrukkelijke schriftelijke toestemming heeft gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden en de verwerking tot die doeleinden blijft beperkt;

• indien de verwerking betrekking heeft op de persoonsgegevens die kennelijk door de betrokkene op eigen initiatief openbaar zijn gemaakt voor een of meer welbepaalde doeleinden. De verwerking moet tot die doeleinden beperkt blijven.
  

Bijkomende verplichtingen verwerkingsverantwoordelijke/verwerker

Indien een beroep wordt gedaan op een van deze afwijkingen moet de verwerkingsverantwoordelijke of de verwerker:

• een lijst opstellen van de categorieën van personen die toegang hebben tot deze persoonsgegevens. Hierbij moet de hoedanigheid van deze personen ten opzichte van de verwerking worden beschreven;

• Voormelde lijst ter beschikking houden van de bevoegde toezichthoudende autoriteit;

• ervoor zorgen dat de aangewezen personen door een wettelijke of statutaire verplichting, of door een evenwaardige contractuele bepaling, het vertrouwelijke karakter van de betrokken gegevens respecteren.
  

5. Beperking rechten betrokkene

De AVG versterkt de rechten van de burgers met betrekking tot hun persoonsgegevens. Ze krijgen meer controle over het gebruik van hun persoonlijke gegevens.

Zo heeft betrokkene recht:

• op beknopte, transparante en begrijpelijke informatie omtrent de verwerking van zijn persoonsgegevens;

• om inzage te verkrijgen van zijn persoonsgegevens die verwerkt worden (recht op inzage);

• onjuiste persoonsgegevens te laten verbeteren en om onvolledige persoonsgegevens te laten vervolledigen (recht op rectificatie).

• om zijn persoonsgegevens te laten verwijderen onder bepaalde voorwaarden (recht op gegevenswissing);

• het recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens (recht van bezwaar);

• …

   

Ook moet de verwerkingsverantwoordelijke de inbreuk melden aan de betrokkene wanneer de inbreuk waarschijnlijk een hoog risico inhoudt voor de privacy van natuurlijke personen. Tenzij bepaalde voorwaarden zijn vervuld. Dit is reeds besproken in een vorige nieuwsbrief. 

De AVG biedt de lidstaten wel de mogelijkheid om bepalingen in te voeren die bovenstaande rechten beperken. Daarbij moet deze beperking de wezenlijke inhoud van grondrechten en fundamentele vrijheden intact laten. De beperking moet een noodzakelijke en evenredige maatregel zijn. Dit om bijvoorbeeld de nationale of openbare veiligheid, doelstellingen van algemeen belang, de bescherming van de betrokkene of rechten en vrijheden van anderen te waarborgen.

Belgische wetgever beperkt rechten betrokkene

Met deze wet maakt onze wetgever gebruik van deze mogelijkheid. De meeste beperkingen zijn niet van belang voor de werkgever. We bespreken in deze nieuwsbrief enkel de beperking die mogelijks van belang kunnen zijn.

Zo bepaalt de wet dat in het geval waarin een verwerkingsverantwoordelijke persoonsgegevens aan de krijgsmacht of het coördinatieorgaan voor dreigingsanalyse (OCAD) bezorgt, de verwerkingsverantwoordelijke betrokkene hiervan niet op de hoogte mag brengen.

6. Sancties

6.1. Administratieve sancties in de AVG

Een grote wijziging die de AVG doorvoert, is dat nu ook strenge sancties voorzien zijn voor het niet-naleven van de privacy voorschriften.

Hierdoor kunnen alle toezichthoudende autoriteiten administratieve boetes opleggen tot 20.000.000 euro of tot 4% van de jaaromzet, indien dit cijfer hoger is.

De AVG geeft wel ruimte om boetes te matigen afhankelijk van de omstandigheden van het geval. Het opleggen van een boete is niet verplicht.  

De AVG geeft aan dat bij het opleggen van boetes onder andere rekening gehouden moet worden met het feit of de dader:

• de inbreuk opzettelijk pleegde of nalatig was;

• voldoende aandacht besteedde aan beveiliging;

• voldoende gegevensbescherming door ontwerp (‘by design’) en standaardinstellingen (‘by default’) toepaste.

De AVG laat het aan de nationale wetgever om de sancties te verfijnen.

6.2. België verfijnt sancties

Met deze wet verfijnt de Belgische wetgever de sancties op inbreuken op de verwerking van persoonsgegevens.

Zo voorziet ze:

• in sancties voor hetgeen niet werd voorzien door de AVG;

• in sancties voor de aanvullende verplichtingen die deze wet oplegt.

6.2.1. Administratieve sancties

Administratieve sanctie bij verwerking gevoelige of strafrechtelijke gegevens

De AVG voorziet in administratieve geldboeten voor vrijwel alle verplichtingen van de AVG. Voor de verwerking van gerechtelijke gegevens is evenwel geen sanctie voorzien, vermoedelijk een vergetelheid.

België voorziet in de mogelijkheid administratieve sancties op te leggen bij de verwerking van gevoelige of strafrechtelijke gegevens (punt 3 van deze nieuwsbrief). Merk op dat de AVG ook de verwerking van gevoelige gegevens bestraft maar deze wet voorziet bijkomende verplichtingen, die dus eveneens bestraft kunnen worden.

Dit betekent dat een werkgever die een overtreding begaat op de bepalingen in deze wet rond de gevoelige of strafrechtelijke gegevens een corrigerende maatregel opgelegd kan krijgen van de Gegevensbeschermingsautoriteit. Deze corrigerende maatregelen zijn opgesomd in de AVG en bestaan onder meer uit:

• een waarschuwing dat de voorgenomen verwerking een inbreuk vormt;

• een berisping dat met de verwerking een inbreuk is gemaakt;

• een tijdelijke of definitieve verwerkingsbeperking;

• de verwerkingsverantwoordelijke verplichten de inbreuk aan betrokkene mee te delen, …

De andere administratieve sancties zijn niet van belang voor een werkgever.

Vrijstelling van administratieve geldboetes voor overheden

Er kunnen geen administratieve geldboetes opgelegd worden aan de overheid, enkel niet-geldelijke administratieve sancties en

strafrechtelijke sancties.

De wetgever maakt hierop wel een uitzondering voor publiekrechtelijke rechtspersonen die goederen of diensten aanbieden op de markt. We denken dan vooral aan overheidsbedrijven die actief zijn op de markt van vervoer, post- en pakjesbedeling (Bpost), telefonie (Proximus), communicatie,… Aan hen kunnen dus wel administratieve geldboetes worden opgelegd.

6.2.2. Strafsancties

Deze wet legt ook strafsancties op. De maximale strafsanctie bedraagt 30.000 euro.

Enkel voor de ernstige inbreuken voorziet de wet een strafrechtelijke sanctie. Het betreft veelal inbreuken die samenlopen met inbreuken die strafrechtelijk gekwalificeerd worden in het Strafwetboek.

Voor alle overige inbreuken wordt een administratiefrechtelijke procedure voorzien bij de toezichthoudende autoriteit (Gegevensbeschermingsautoriteit voor een 'gewone' werkgever).

Geldboete van tweehonderdvijftig euro tot vijftienduizend euro

Een werkgever als verwerkingsverantwoordelijke of zijn verwerker, zijn aangestelde of gemachtigde kan gestraft worden met een geldboete van tweehonderdvijftig euro tot vijftienduizend euro  wanneer hij:

• de persoonsgegevens verwerkt zonder wettelijke basis, inbegrepen de voorwaarden voor de toestemming en verdere verwerking;

• de persoonsgegevens verwerkt in overtreding van de algemene voorwaarden voor verwerking (gerechtvaardigd doel, toereikend, ter zake dienend en niet overmatig, …). Dit door ernstige nalatigheid of kwaadwillig;

• de verwerking waartegen bezwaar is gemaakt, handhaaft zonder dwingende wettige redenen;

• persoonsgegevens aan een ontvanger in een derde land of een internationale organisatie doorgeeft, in overtreding van de waarborgen, voorwaarden of uitzonderingen voorzien in de AVG of deze wet. Dit door ernstige nalatigheid of kwaadwillig;

• de door de toezichthoudende autoriteit vastgestelde corrigerende maatregel voor de tijdelijke of definitieve beperking van verwerking niet respecteert;

• de door de toezichthoudende autoriteit vastgestelde corrigerende maatregel die oplegt om de verwerking in overeenstemming te brengen met de bepalingen uit de AVG niet respecteert;

• de wettelijke verificatie- en controle-opdrachten van de bevoegde toezichthoudende overheid, haar leden of deskundigen belemmert;

• weerspannig is ten aanzien van de leden van de toezichthoudende autoriteit (in de zin van artikel 269 van het Strafwetboek);

• …

Bij veroordeling tot een misdrijf zoals hierboven omschreven kan de rechtbank bevelen dat het vonnis in zijn geheel of bij uittreksel wordt opgenomen in een of meerdere dagbladen op de wijze die zij bepaalt, zulks op kosten van de veroordeelde.

Geldboete van vijfhonderd euro tot dertigduizend euro

De werkgever als verwerkingsverantwoordelijke, zijn verwerker of de persoon die handelt onder hun gezag wordt gestraft met een geldboete van vijfhonderd euro tot dertigduizend euro indien deze de betrokkene heeft ingelicht dat de krijgsmacht of het coördinatieorgaan voor dreigingsanalyse de ontvanger is van één van zijn persoonsgegevens. Dit door zijn nalatigheid voor zover deze ernstig is, of kwaadwillig.

Bij veroordeling tot een misdrijf zoals hierboven omschreven kan de rechtbank bevelen dat het vonnis in zijn geheel of bij uittreksel wordt opgenomen in een of meerdere dagbladen op de wijze die zij bepaalt, zulks op kosten van de veroordeelde.

Geldboete van honderd euro tot twintigduizend euro

Met een geldboete van honderd euro tot twintigduizend euro wordt gestraft:

• hij die, om een persoon te dwingen hem zijn instemming te geven met de verwerking van de hem betreffende persoonsgegevens, tegenover die persoon gebruik maakt van feitelijkheden, geweld, bedreigingen, giften of beloften;

• hij die persoonsgegevens doorgeeft, doet of laat doorgeven, als gevolg van zijn nalatigheid voor zover deze ernstig is, of kwaadwillig, naar een land dat geen lid is van de Europese Unie of een internationale organisatie zonder dat is voldaan aan de vereisten opgelegd door de AVG.

Burgerrechtelijke aansprakelijkheid van de gegevensverantwoordelijke

De verwerkingsverantwoordelijke, de verwerker, of zijn vertegenwoordiger in België is burgerrechtelijk aansprakelijk voor de betaling van de boeten waartoe zijn aangestelde of gemachtigde is veroordeeld.