Omdat de Avg een verordening is en geen richtlijn, bepaalt de nieuwe privacywet het kader voor het werken met persoonsgegevens in heel Europa (en zelfs daarbuiten, voor zover bedrijven gegevens van Europeanen verwerken). Op enkele onderdelen laat de verordening ruimte voor nationale invulling.
Uitzonderingen
Reden waarom het Verbond zich hard heeft gemaakt voor relevante uitzonderingen uit de Wbp die in de Uitvoeringswet behouden (kunnen) blijven. “Artikel 30 bevat bijvoorbeeld enkele relevante uitzonderingen op het verwerkingsverbod van gezondheidsgegevens”, legt beleidsadviseur Jos Schaffers uit. Zo is lid 1 volgens hem belangrijk in het kader van onder andere pensioenen en arbeidsongeschiktheid. En artikel 30 lid 3 (b) bevat weer een belangrijke uitzondering op het verwerkingsverbod voor verzekeraars/financiële dienstverleners die bemiddelen in verzekeringen, voor zover dat noodzakelijk is voor de beoordeling van het te verzekeren risico en voor de uitvoering van de overeenkomst.
Gelet op de UAvg blijft de toepassing van een landelijk waarschuwingssysteem voor de financiële sector behouden. Deze vorm van informatie-uitwisseling is voor de verzekeraars van essentieel belang in hun strijd tegen verzekeringscriminaliteit. Belangrijke waarborg voor de privacy van fraudeplegers en andere criminelen is dat, net als in de huidige situatie, de Autoriteit Persoonsgegevens de branche akkoord moet geven voor toepassing van een gezamenlijk registratiesysteem.
Artikel 22 van de Avg bepaalt dat consumenten het recht hebben om niet te worden onderworpen aan volledig automatische besluitvorming, waaronder ‘profileren’, behoudens enkele uitzonderingen. De Memorie van Toelichting benadrukt op pagina 104 nog eens dat het gebruikmaken van geautomatiseerde processen in velerlei contexten toegevoegde waarde heeft, waarbij expliciet de verzekeringsbranche als voorbeeld genoemd wordt.
Complex
Schaffers noemt het advies van de Raad van State “zeer lezenswaardig”. De Raad laat zich op diverse punten kritisch uit. Zo staat er in het advies: Tegelijkertijd meent de Afdeling dat het nieuwe EU-gegevensbeschermingsrecht, ook in verhouding tot het bestaande wettelijke regime, zeer complex is en met het oog op de nadere uitwerking in de wetgeving en in de uitvoeringspraktijk veel vragen oproept en nog zal oproepen. “Wij herkennen ons wel in die complexiteit en onduidelijkheid. We pleiten er dan ook voor dat de Autoriteit Persoonsgegevens in 2018 nog meer aandacht besteedt aan uitleg van de Avg.”
Bekijk de Uitvoeringswet Algemene verordening gegevensbescherming