Territoriale reikwijdte:
Art. 3 AVG twee criteria: vestiging (lid 1) of gerichtheid (lid 2):
1. Vestiging (art. 3 lid 1 AVG)
a. Wie is verwerkingsverantwoordelijke/verwerker? (Art. 4 lid 7 en 8)
b. Definitie vestiging in overweging 22 AVG en Weltimmo punt 29 en 31.
c. Vv/verwerker in Unie gevestigd? Bepalen of betreffende verwerking plaatsvindt in
het kader van de activiteiten van deze toepassing. Twee factoren:
i. De relatie tussen een vv/verwerker buiten de Unie en diens lokale vestiging in
de Unie. Google Spain: punt 55/56 (...) onlosmakelijk verbonden.
ii. Het generen van inkomsten in de unie.
d. Ongeacht of de verwerking in de Unie plaatsvindt
i. Dus: geografische locatie waar entiteiten zijn wel van belang (vv/verwerker en
vestiging binnen de Unie). Geografische locatie van verwerking is niet van
belang.
Er is voldaan aan de eisen van art. 3 lid 1 AVG dus de AVG is van toepassing op de
verwerking van pgg.
2. Gerichtheid (art. 3 lid 2 AVG)
a. Houdt de verwerking verband met pgg van betrokkenen (overweging 14 AVG) die
zich in de Unie bevinden?
i. Moet worden beoordeeld op het moment dat de betreffende activiteit
plaatsvindt. EDPB is van mening dat de bepaling is gericht op activiteiten die
bewust zijn gericht op personen in de EU. Als de verwerking dus verband houdt
met een dienst die uitsluitend wordt aangeboden aan personen buiten de EU,
maar niet wordt stopgezet wanneer deze persoon de EU binnenkomt, valt de
verwerking niet onder de AVG.
b. Houdt de verwerking verband met het aanbieden van goederen of diensten of met
de monitoring van het gedrag van betrokkenen in de Unie.
i. Aanbieden van goederen of diensten overweging 23 AVG
Salarisbetaling door bedrijf uit derde land valt hier niet onder!
ii. Monitoren van gedrag van betrokkenen overweging 24 AVG
Bijv: gedragsgericht adverteren, geolokalisatieactiviteiten met name voor
marketingdoeleinden; volgen door cookies; gepersonaliseerde
onlinediensten voor dieet- en gezondheidsanalyses etc.
Ja? Er is voldaan aan de eisen van art. 3 lid 2 AVG dus de AVG is van toepassing op de
verwerking van pgg.
Art. 3 lid 3 AVG verder uitgewerkt in overweging 25. Het EDPB is daarom van mening dat
AVG van toepassing is op de verwerking van pgg door ambassades en consulaten van EU-
lidstaten bij de EU. Bijv NL ambassade in Jamaica of Duits cruiseschip op internationale
wateren.
,Voorbeeld tentamenvraag territoriale reikwijdte:
Het in Nederland gevestigde bedrijf Fireball verbouwt extreem pittige pepertjes die zij op dit
moment enkel nog verkoopt aan klanten in Mexico. Het verzamelen en verwerken van de
klantgegevens, waaronder persoonsgegevens, heeft zij uitbesteed aan een bedrijf in Mexico.
Elke maand wordt er een lading pepertjes naar dit Mexicaanse bedrijf verstuurd en vervolgens
handelen zij de orders verder af met klanten in Mexico. Fireball heeft duidelijk afspraken gemaakt
met dit Mexicaanse bedrijf en zij verwerkt de klantgegevens ten behoeve van Fireball en op basis
van diens instructies. Fireball heeft bijvoorbeeld bepaald voor welk doel de gegevens worden
verwerkt en instructie gegeven over welke persoonsgegevens het Mexicaanse bedrijf moet
verwerken, voor welke duur en wie er toegang tot de gegevens mag hebben. Zelf heeft Fireball
geen toegang tot de persoonsgegevens, want dat is niet nodig.
Tot nu toe is Fireball er steeds van uitgegaan dat de AVG op haar van toepassing is voor deze
verwerking van persoonsgegevens en dat zij daarvoor als verwerkingsverantwoordelijke kan
worden aangemerkt. Het managementteam begint hier opeens aan te twijfelen. Er worden alleen
gegevens van klanten verwerkt die zich in Mexico bevinden en ook de verwerkingsactiviteit zelf
vindt in Mexico plaats. Daarbij heeft Fireball zelf helemaal geen toegang tot deze
persoonsgegevens. Ze leggen een aantal vragen bij u neer en willen graag advies. U bent
namelijk de enige medewerker binnen de juridische afdeling met ervaring op het gebied van
privacy.
Valt deze verwerking van persoonsgegevens ten behoeve van Fireball onder de territoriale
reikwijdte van de AVG? Geef hierbij ook aan of de geografische locatie van zowel de
betrokkenen als de verwerkingsactiviteit relevant is. Onderbouw uw antwoord.
Modelantwoord:
- Ja, deze verwerking van klantgegevens valt onder de territoriale reiwijdte van de AVG (1pt)
- Uit art. 3 lid 1 AVG volgt ‘’Deze verordening is van toepassing op de verwerking van pgg in
het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of een
verwerker in de Unie, ongeacht of de verwerking in de Unie al dan niet plaatsvindt.’’ (1 pt)
- De verwerking van klantgegevens, waaronder pgg, vindt plaats in het kader van de
activiteiten van het in NL gevestigde Fireball. De gegevens worden namelijk verwerkt zodat
Fireball pepertjes kan verkopen aan klanten in Mexico. Zie over ‘in het kader van activiteiten’
ook Google spain arrest (1pt)
- Dat de gegevensverwerking in Mexico (en dus buiten de Unie) plaatsvindt doet hier gelet op
de tekst van art. 3 lid 1 AVG niet aan af. De geografische locatie van de verwerkingsactiviteit
is dus niet relevant.
- Ook de geografische locatie van betrokkenen (in dit geval de klanten in Mexico) is niet
relevant voor de toepasselijkheid van art. 3 lid 1 AVG. Zie daarvoor ook overweging 14 AVG
waaruit volgt: ‘’De bescherming die door deze verordening wordt geboden heeft betrekking op
np, ongeacht hun nationaliteit of verblijfplaats, i.v.m. de verwerking van hun pgg).
,Opkomst AVG
2016: 2 belangrijke wijzigingen van Wpb ter voorbereiding op AVG:
1. Meldplicht datalekken
2. Het aanstellen van een dataverwerkingsverantwoordelijke
AVG verordening met richtlijn trekken: richtlijn is verbindend t.a.v. het door de lidstaten te
bereiken resultaat, maar laat tegelijkertijd aan de nationale instanties de bevoegdheid vorm en
middelen te kiezen (288 VWEU). Een verordening is verbindend in al haar onderdelen en anders
dan een richtlijn rechtstreeks toepasselijk in elke lidstaat. Er is in geval van een verordening
daarom normaal gesproken geen nationale omzettingswetgeving nodig (zelfs verboden). Maar dit
is expliciet in AVG opgenomen dus dan mag dat wel.
Een onderbouwde mening over de kwestie of de AVG het einde van de ontwikkeling van het
nationale gegevensbeschermingsrecht teweeg heeft gebracht:
De invoering van de AVG heeft niet het einde van de ontwikkeling van het nationale
gegevensbeschermingsrecht betekend. Hoewel de AVG een uniforme set regels biedt voor de
hele EU, blijven er op nationaal niveau nog steeds ontwikkelingen en aanvullingen plaatsvinden.
Lidstaten hebben de mogelijkheid om aanvullende regels en interpretaties toe te passen binnen
de kaders van de AVG. Dit betekent dat nationale wetgeving (zoals UAVG) nog steeds een
belangrijke rol speelt in de bescherming van persoonsgegevens.
Voorbeeld tentamenvraag opkomst AVG:
Beoordeel de volgende stelling: Pas met de invoering van de AVG was de meldplicht datalekken
van toepassing.
- Deze stelling is onjuist (1 pt)
- De meldplicht datalekken kennen we al sinds 1 januari 2016 (1pt)
- Dmv een wijzigingswet is deze ingevoerd toen de Wbp nog gold en er nog geen AVG van
toepassing was, dat was pas vanaf 2018 (1pt)
Materiële reikwijdte
Hoofdregel art. 2 AVG: ‘’deze verordening is van toepassing op de geheel of gedeeltelijke
geautomatiseerde verwerking van pgg, alsmede op de verwerking van pgg die in een bestand
zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
- Uitzonderingen in art. 2 lid 2 AVG
- Uitzonderingen in art. 2 lid 2 UAVG: Wbp, kieswet of wet referendum.
- Uitbreiding: art. 3 lid 1 en 2 UAVG.
Zie ook overweging 18 AVG.
Beperkte/afwijkende toepassing:
- Journalistieke doeleinden (art. 85 AVG jo. 43 lid 1 UAVG)
- Wetenschappelijk onderzoek en statistiek (art. 49 AVG jo. 44 UAVG)
- Archivering in het algemeen belang (art. 89 AVG jo. 45 UAVG)
- Verwerking in het kader van de arbeidsverhouding (art. 88 AVG)
Art. 4 punt 2 AVG – definitie van verwerking.
, - Vrijwel alles wat men met persoonsgegevens ‘doet’, is aan te merken als een verwerking.
Maar de AVG is n.v.t. op alle verwerking van persoonsgegevens. Hier komt het materiele
toepassingsbereik weer in beeld. Art. 2 lid 1 AVG:
o Het moet dus gaan om (1) geheel of gedeeltelijke geautomatiseerde verwerking, of
een (2) verwerking die niet geheel of gedeeltelijk geautomatiseerd is maar een
verwerking van persoonsgegevens betreft die een bestand zijn opgenomen of die
bestemd zijn om daarin te worden opgenomen.
- Bestand: art. 4 punt 6 AVG
- Dexia: Dexia maakte bandopnamen van telefoongesprekken met cliënten. (Oud) Wpb ook
van toepassing op geluidsopname die min of meer toegankelijk zijn voor latere raadpleging.
- Geen bestand:
o Verzameling van losse foto’s van personen, bewaard in een oude schoenendoos of
ingeplakt in een fotoboek
o Advies inzake ontslag dat niet is opgenomen in personeelsdossier maar is
opgeborgen in een kluis van de personeelsafdeling van de gemeente, waarvan zich
losse stukken bevinden.
o Een ‘intern recordmanagementsysteem van de DNB, dat wordt gebruikt als archief,
die DNB opstelt of verkrijgt, worden daarin opgeslagen a.d.h.v. een mappenstructuur
t.b.v. lopende toezichtdossiers. In dit intern record managementsysteem kan met een
zoekterm, zoals een naam, gezocht worden. Dan komen geen pgg naar boven maar
slechts mappen met de titels van de vertrouwelijke onderzoek dossiers waarin de
gezochte naam voorkomt.
Voorbeeld tentamenvraag materiële reikwijdte:
Opa Bob heeft al jaren een penvriend in Amerika. Ze schrijven regelmatig brieven naar elkaar
over de nieuwe gebeurtenissen in hun leven. De penvrienden besluiten mee te gaan met de tijd
en over te gaan op het versturen van e-mails. Opa Bob leest een artikel in de krant over de AVG
en vraagt zich opeens af: moet hij niet aan allemaal regeltjes voldoen als hij contact gaat
onderhouden met zijn penvriend via het internet?
Geef aan of de AVG in deze situatie van toepassing is voor opa Bob en onderbouw uw antwoord.
- Nee, deze situatie valt niet onder de materiële reikwijdte van de AVG en is dus niet van
toepassing voor opa Bob. (1pt)
- Er is sprake van een verwerking van persoonsgegevens door een natuurlijke persoon bij de
uitoefening van een zuiver persoonlijke of huishoudelijke activiteit ingevolge artikel 2, lid 2, sub c,
AVG. (1pt)
- Het versturen van e-mails naar een penvriend valt namelijk onder het voeren van
correspondentie en houdt geen enkel verband met een beroeps- of handelsactiviteit. Zie
overweging 18 AVG. (1pt)
- De e-mails worden niet openbaar gemaakt op het internet aan een onbepaald aantal personen,
zoals het geval was in HvJ EU-arrest Lindqvist, r.o. 47 en het arrest Jehova, r.o. 42.
NB: Het aanhalen van dit leerstuk en benoemen van een van de twee arresten is voldoende voor
het behalen van dit punt. (1 pt)
The benefits of buying summaries with Stuvia:
Guaranteed quality through customer reviews
Stuvia customers have reviewed more than 700,000 summaries. This how you know that you are buying the best documents.
Quick and easy check-out
You can quickly pay through credit card or Stuvia-credit for the summaries. There is no membership needed.
Focus on what matters
Your fellow students write the study notes themselves, which is why the documents are always reliable and up-to-date. This ensures you quickly get to the core!
Frequently asked questions
What do I get when I buy this document?
You get a PDF, available immediately after your purchase. The purchased document is accessible anytime, anywhere and indefinitely through your profile.
Satisfaction guarantee: how does it work?
Our satisfaction guarantee ensures that you always find a study document that suits you well. You fill out a form, and our customer service team takes care of the rest.
Who am I buying these notes from?
Stuvia is a marketplace, so you are not buying this document from us, but from seller SBRZ. Stuvia facilitates payment to the seller.
Will I be stuck with a subscription?
No, you only buy these notes for $9.21. You're not tied to anything after your purchase.
