Thema 6: e-Privacy en doorgifte van persoonsgegevens aan derde landen
Literatuur 2
Kranenborg & Verhey: H4.4.2, 4.6, H13 2
Jurisprudentie 4
HvJ EU 6 november 2003 (Lindqvist) 4
HvJ EU 16 juli 2020 (Schrems II) 4
Hoorcollege 5
E-Privacy 5
Internationale doorgiften 7
E-Privacy + Doorgifte 12
Werkgroep 14
1
,Literatuur
Kranenborg & Verhey: H4.4.2, 4.6, H13
Hoofdstuk 4.4.2: Grondslag: Toestemming
Definitie en Voorwaarden
● Toestemming: Elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door
middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende persoonsgegevens aanvaardt.
(Art. 4(11) AVG).
○ Vrij: De betrokkene moet een echte keuze hebben en niet onder druk staan.
○ Specifiek: Toestemming moet gegeven worden voor specifieke doeleinden.
○ Geïnformeerd: Betrokkene moet voldoende geïnformeerd zijn over de gegevensverwerking.
○ Ondubbelzinnig: Een duidelijke bevestigende handeling is vereist (bijv. aanvinken van een vakje).
Verantwoordelijkheden van de Verwerkingsverantwoordelijke
● Bewijslast: De verwerkingsverantwoordelijke moet kunnen aantonen dat toestemming is verkregen. (Art. 7(1) AVG).
● Intrekken van Toestemming: Betrokkenen hebben het recht hun toestemming te allen tijde in te trekken, en dit moet
net zo gemakkelijk zijn als het geven van toestemming. (Art. 7(3) AVG).
● Informatieverplichtingen: Betrokkenen moeten geïnformeerd worden over hun recht om toestemming in te trekken.
Jurisprudentie en Voorbeelden
● Planet49 GmbH (C-673/17): Toestemming moet actief worden gegeven; vooraf aangevinkte selectievakjes voldoen
niet.
● Fashion ID (C-40/17): Verantwoordelijkheden voor het verkrijgen van toestemming bij embedded third-party
content.
Hoofdstuk 4.6: Verwerking van Bijzondere Categorieën van Persoonsgegevens
Definitie
● Bijzondere Categorieën van Gegevens: Gegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze
of levensbeschouwelijke overtuigingen, of lidmaatschap van een vakbond blijken, evenals genetische gegevens,
biometrische gegevens met het oog op de unieke identificatie van een persoon, gegevens over gezondheid, of
gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid. (Art. 9(1) AVG).
Verwerkingsverbod en Uitzonderingen
● Algemeen Verwerkingsverbod: Het verwerken van bijzondere categorieën van persoonsgegevens is verboden, tenzij
aan specifieke voorwaarden wordt voldaan. (Art. 9(1) AVG).
● Uitzonderingen:
○ Uitdrukkelijke Toestemming: Verwerking is toegestaan wanneer de betrokkene uitdrukkelijke toestemming heeft
gegeven. (Art. 9(2)(a) AVG).
○ Arbeidsrecht en Sociale Zekerheid: Verwerking is noodzakelijk voor de uitvoering van verplichtingen en het
uitoefenen van specifieke rechten van de verwerkingsverantwoordelijke of de betrokkene op het gebied van
arbeidsrecht en sociale zekerheid. (Art. 9(2)(b) AVG).
○ Vitale Belangen: Verwerking is noodzakelijk om de vitale belangen van de betrokkene of een andere natuurlijke
persoon te beschermen. (Art. 9(2)(c) AVG).
○ Niet-winstgevende Organisaties: Verwerking door stichtingen, verenigingen of andere niet-winstgevende
organisaties met een politiek, filosofisch, religieus of vakbondsdoel in het kader van hun gerechtvaardigde
activiteiten. (Art. 9(2)(d) AVG).
○ Openbaar Gemaakte Gegevens: Verwerking van persoonsgegevens die duidelijk door de betrokkene openbaar
zijn gemaakt. (Art. 9(2)(e) AVG).
○ Rechtsvorderingen: Verwerking is noodzakelijk voor het vaststellen, uitoefenen of verdedigen van
rechtsvorderingen. (Art. 9(2)(f) AVG).
○ Belangrijke Algemeen Belang: Verwerking is noodzakelijk om redenen van groot openbaar belang. (Art. 9(2)(g)
AVG).
2
, ○ Gezondheidszorg en Gezondheidsmanagement: Verwerking is noodzakelijk voor doeleinden van preventieve of
arbeidsgeneeskunde, beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnose, verstrekking
van gezondheidszorg of behandeling, of beheer van gezondheidszorgstelsels. (Art. 9(2)(h) AVG).
○ Openbaar Belang op het gebied van Volksgezondheid: Verwerking is noodzakelijk voor doeleinden van het
algemeen belang op het gebied van de volksgezondheid. (Art. 9(2)(i) AVG).
○ Archivering, Wetenschappelijk of Historisch Onderzoek, Statistieken: Verwerking is noodzakelijk voor
archivering in het algemeen belang, wetenschappelijk of historisch onderzoek, of statistische doeleinden. (Art.
9(2)(j) AVG).
Verantwoordelijkheden van de Verwerkingsverantwoordelijke
● Impact Assessment: Bij het verwerken van bijzondere categorieën gegevens is een Data Protection Impact
Assessment (DPIA) vaak noodzakelijk. (Art. 35 AVG).
● Veiligheidsmaatregelen: Implementatie van passende technische en organisatorische maatregelen om de gegevens te
beveiligen. (Art. 32 AVG).
Jurisprudentie en Voorbeelden
● Nowak (C-434/16): Examenscripts kunnen onder bepaalde omstandigheden worden beschouwd als
persoonsgegevens.
● Rigas (C-13/16): Gezondheidsgegevens mogen alleen worden verwerkt als er aan strikte voorwaarden wordt
voldaan.
Deze uitgebreide samenvatting bevat nu gedetailleerde informatie over de belangrijke definities, relevante artikelen van
de AVG, specifieke verplichtingen van verwerkingsverantwoordelijken en verwerkers, rechten van betrokkenen, en
belangrijke gerechtelijke uitspraken die de interpretatie en toepassing van de AVG beïnvloeden.
Hoofdstuk 13: Handhaving en Rechtsbescherming
Inleiding
Dit hoofdstuk behandelt de handhaving van de Algemene Verordening Gegevensbescherming (AVG) en de
rechtsbescherming die betrokkenen kunnen inroepen. Het bespreekt de rol van toezichthoudende autoriteiten, de
verschillende soorten sancties die kunnen worden opgelegd, en de mogelijkheden voor betrokkenen om hun rechten af te
dwingen.
13.1 Toezichthoudende Autoriteiten
Rol en Bevoegdheden
● Hoofdtaak: Toezicht houden op de naleving van de AVG.
● Artikel 51 AVG: Lidstaten moeten een of meer onafhankelijke toezichthoudende autoriteiten oprichten.
● Bevoegdheden:
○ Onderzoeksbevoegdheden: Recht om audits en inspecties uit te voeren.
○ Corrigerende bevoegdheden: Recht om sancties op te leggen, zoals boetes.
○ Toestemmings- en adviserende bevoegdheden: Recht om goedkeuring te geven voor bepaalde
verwerkingsactiviteiten en advies uit te brengen.
Samenwerking en Coherentie
● One-Stop-Shop Mechanisme: Coördinatie tussen toezichthoudende autoriteiten bij grensoverschrijdende
gegevensverwerkingen. (Art. 60 AVG).
● European Data Protection Board (EDPB): Zorgt voor consistente toepassing van de AVG binnen de EU. (Art. 68
AVG).
13.2 Handhavingsmechanismen
Soorten Sancties
● Bestuurlijke Boetes:
○ Maximale boete: Tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welke hoger is. (Art.
83 AVG).
3
Literatuur 2
Kranenborg & Verhey: H4.4.2, 4.6, H13 2
Jurisprudentie 4
HvJ EU 6 november 2003 (Lindqvist) 4
HvJ EU 16 juli 2020 (Schrems II) 4
Hoorcollege 5
E-Privacy 5
Internationale doorgiften 7
E-Privacy + Doorgifte 12
Werkgroep 14
1
,Literatuur
Kranenborg & Verhey: H4.4.2, 4.6, H13
Hoofdstuk 4.4.2: Grondslag: Toestemming
Definitie en Voorwaarden
● Toestemming: Elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door
middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende persoonsgegevens aanvaardt.
(Art. 4(11) AVG).
○ Vrij: De betrokkene moet een echte keuze hebben en niet onder druk staan.
○ Specifiek: Toestemming moet gegeven worden voor specifieke doeleinden.
○ Geïnformeerd: Betrokkene moet voldoende geïnformeerd zijn over de gegevensverwerking.
○ Ondubbelzinnig: Een duidelijke bevestigende handeling is vereist (bijv. aanvinken van een vakje).
Verantwoordelijkheden van de Verwerkingsverantwoordelijke
● Bewijslast: De verwerkingsverantwoordelijke moet kunnen aantonen dat toestemming is verkregen. (Art. 7(1) AVG).
● Intrekken van Toestemming: Betrokkenen hebben het recht hun toestemming te allen tijde in te trekken, en dit moet
net zo gemakkelijk zijn als het geven van toestemming. (Art. 7(3) AVG).
● Informatieverplichtingen: Betrokkenen moeten geïnformeerd worden over hun recht om toestemming in te trekken.
Jurisprudentie en Voorbeelden
● Planet49 GmbH (C-673/17): Toestemming moet actief worden gegeven; vooraf aangevinkte selectievakjes voldoen
niet.
● Fashion ID (C-40/17): Verantwoordelijkheden voor het verkrijgen van toestemming bij embedded third-party
content.
Hoofdstuk 4.6: Verwerking van Bijzondere Categorieën van Persoonsgegevens
Definitie
● Bijzondere Categorieën van Gegevens: Gegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze
of levensbeschouwelijke overtuigingen, of lidmaatschap van een vakbond blijken, evenals genetische gegevens,
biometrische gegevens met het oog op de unieke identificatie van een persoon, gegevens over gezondheid, of
gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid. (Art. 9(1) AVG).
Verwerkingsverbod en Uitzonderingen
● Algemeen Verwerkingsverbod: Het verwerken van bijzondere categorieën van persoonsgegevens is verboden, tenzij
aan specifieke voorwaarden wordt voldaan. (Art. 9(1) AVG).
● Uitzonderingen:
○ Uitdrukkelijke Toestemming: Verwerking is toegestaan wanneer de betrokkene uitdrukkelijke toestemming heeft
gegeven. (Art. 9(2)(a) AVG).
○ Arbeidsrecht en Sociale Zekerheid: Verwerking is noodzakelijk voor de uitvoering van verplichtingen en het
uitoefenen van specifieke rechten van de verwerkingsverantwoordelijke of de betrokkene op het gebied van
arbeidsrecht en sociale zekerheid. (Art. 9(2)(b) AVG).
○ Vitale Belangen: Verwerking is noodzakelijk om de vitale belangen van de betrokkene of een andere natuurlijke
persoon te beschermen. (Art. 9(2)(c) AVG).
○ Niet-winstgevende Organisaties: Verwerking door stichtingen, verenigingen of andere niet-winstgevende
organisaties met een politiek, filosofisch, religieus of vakbondsdoel in het kader van hun gerechtvaardigde
activiteiten. (Art. 9(2)(d) AVG).
○ Openbaar Gemaakte Gegevens: Verwerking van persoonsgegevens die duidelijk door de betrokkene openbaar
zijn gemaakt. (Art. 9(2)(e) AVG).
○ Rechtsvorderingen: Verwerking is noodzakelijk voor het vaststellen, uitoefenen of verdedigen van
rechtsvorderingen. (Art. 9(2)(f) AVG).
○ Belangrijke Algemeen Belang: Verwerking is noodzakelijk om redenen van groot openbaar belang. (Art. 9(2)(g)
AVG).
2
, ○ Gezondheidszorg en Gezondheidsmanagement: Verwerking is noodzakelijk voor doeleinden van preventieve of
arbeidsgeneeskunde, beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnose, verstrekking
van gezondheidszorg of behandeling, of beheer van gezondheidszorgstelsels. (Art. 9(2)(h) AVG).
○ Openbaar Belang op het gebied van Volksgezondheid: Verwerking is noodzakelijk voor doeleinden van het
algemeen belang op het gebied van de volksgezondheid. (Art. 9(2)(i) AVG).
○ Archivering, Wetenschappelijk of Historisch Onderzoek, Statistieken: Verwerking is noodzakelijk voor
archivering in het algemeen belang, wetenschappelijk of historisch onderzoek, of statistische doeleinden. (Art.
9(2)(j) AVG).
Verantwoordelijkheden van de Verwerkingsverantwoordelijke
● Impact Assessment: Bij het verwerken van bijzondere categorieën gegevens is een Data Protection Impact
Assessment (DPIA) vaak noodzakelijk. (Art. 35 AVG).
● Veiligheidsmaatregelen: Implementatie van passende technische en organisatorische maatregelen om de gegevens te
beveiligen. (Art. 32 AVG).
Jurisprudentie en Voorbeelden
● Nowak (C-434/16): Examenscripts kunnen onder bepaalde omstandigheden worden beschouwd als
persoonsgegevens.
● Rigas (C-13/16): Gezondheidsgegevens mogen alleen worden verwerkt als er aan strikte voorwaarden wordt
voldaan.
Deze uitgebreide samenvatting bevat nu gedetailleerde informatie over de belangrijke definities, relevante artikelen van
de AVG, specifieke verplichtingen van verwerkingsverantwoordelijken en verwerkers, rechten van betrokkenen, en
belangrijke gerechtelijke uitspraken die de interpretatie en toepassing van de AVG beïnvloeden.
Hoofdstuk 13: Handhaving en Rechtsbescherming
Inleiding
Dit hoofdstuk behandelt de handhaving van de Algemene Verordening Gegevensbescherming (AVG) en de
rechtsbescherming die betrokkenen kunnen inroepen. Het bespreekt de rol van toezichthoudende autoriteiten, de
verschillende soorten sancties die kunnen worden opgelegd, en de mogelijkheden voor betrokkenen om hun rechten af te
dwingen.
13.1 Toezichthoudende Autoriteiten
Rol en Bevoegdheden
● Hoofdtaak: Toezicht houden op de naleving van de AVG.
● Artikel 51 AVG: Lidstaten moeten een of meer onafhankelijke toezichthoudende autoriteiten oprichten.
● Bevoegdheden:
○ Onderzoeksbevoegdheden: Recht om audits en inspecties uit te voeren.
○ Corrigerende bevoegdheden: Recht om sancties op te leggen, zoals boetes.
○ Toestemmings- en adviserende bevoegdheden: Recht om goedkeuring te geven voor bepaalde
verwerkingsactiviteiten en advies uit te brengen.
Samenwerking en Coherentie
● One-Stop-Shop Mechanisme: Coördinatie tussen toezichthoudende autoriteiten bij grensoverschrijdende
gegevensverwerkingen. (Art. 60 AVG).
● European Data Protection Board (EDPB): Zorgt voor consistente toepassing van de AVG binnen de EU. (Art. 68
AVG).
13.2 Handhavingsmechanismen
Soorten Sancties
● Bestuurlijke Boetes:
○ Maximale boete: Tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welke hoger is. (Art.
83 AVG).
3
