Gegevensbescherming EU-instellingen — de AVG voor Brussel, relevant bij leveren aan de EU

Deze verordening is het equivalent van de AVG voor de EU-instellingen, -organen, -bureaus en -agentschappen zelf: de Europese Commissie, het Europees Parlement, Europol en tientallen andere EU-lichamen verwerken hun eigen persoonsgegevens onder dit regime, met de Europese Toezichthouder voor gegevensbescherming (EDPS) als toezichthouder in plaats van de Autoriteit Persoonsgegevens. Voor een Nederlandse onderneming is dit vrijwel nooit een eigen verplichtingendossier: het wordt pas relevant zodra zij zelf gegevens verwerkt namens of voor een EU-instelling, bijvoorbeeld als ICT-leverancier, onderzoekspartner of subsidieontvanger, en dan werkt het door via het contract met die instelling. Anders dan de AVG kent deze verordening geen geldboete: de EDPS kan een EU-instelling corrigerende maatregelen opleggen, maar geen boete zoals de Autoriteit Persoonsgegevens dat bij een bedrijf kan.

Waarvoor is dit bedoeld

EU-instellingen verwerken zelf grote hoeveelheden persoonsgegevens — van eigen personeel, subsidieontvangers, deelnemers aan onderzoeksprogramma’s en correspondenten met burgers. Deze verordening zorgt ervoor dat zij daarbij aan normen worden gehouden die gelijkwaardig zijn aan de AVG, en moet volgens de considerans homogeen met de AVG worden uitgelegd.

Voor wie

Alle instellingen, organen, bureaus en agentschappen van de Unie, met uitzondering van het Hof van Justitie voor zover het als rechtsprekende instantie optreedt. Voor bedrijven geldt geen drempel, omdat de verplichtingen niet bij bedrijven liggen: relevant wordt de verordening pas via een contractuele relatie met zo’n instelling.

Wat er niet onder valt

Gegevensverwerking door de lidstaten zelf blijft onder de AVG vallen, ook als die verwerking samenhangt met EU-beleid. Wat een Nederlands bedrijf voor eigen doeleinden of voor een Nederlandse overheidsinstantie aan persoonsgegevens verwerkt, valt dus nooit onder deze verordening, hoe Europees het onderwerp ook is.

Wat je moet doen als leverancier

Schakelt een EU-instelling je in als verwerker, dan verlangt artikel 28 een overeenkomst of andere rechtshandeling naar Unierecht die onderwerp, duur, aard en doel van de verwerking en het soort gegevens en categorieën betrokkenen vastlegt — vergelijkbaar met, maar juridisch niet identiek aan, de verwerkersovereenkomst onder de AVG. Een leverancier met zowel private als EU-institutionele klanten moet dus twee regimes naast elkaar kunnen bedienen.

Doorgifte buiten de instellingen

Geeft een EU-instelling gegevens door aan een ontvanger buiten de instellingen — een lidstaat, een derde land, een internationale organisatie — dan moet dat volgens de artikelen 40 tot en met 43 op een adequaatheidsbesluit of op passende waarborgen berusten, in lijn met hoe de AVG doorgifte naar derde landen regelt.

Functionaris voor gegevensbescherming

Elke EU-instelling moet een functionaris voor gegevensbescherming aanwijzen die onafhankelijk toeziet op de naleving binnen die instelling (art. 37) — het institutionele equivalent van de functionaris gegevensbescherming onder de AVG.

Melding van datalekken

Een inbreuk in verband met persoonsgegevens moet zonder onnodige vertraging en waar mogelijk niet later dan 72 uur nadat de instelling er kennis van heeft gekregen, worden gemeld bij de EDPS (art. 33) — dezelfde termijn als onder de AVG.

Rol van de EDPS

De Europese Toezichthouder voor gegevensbescherming behandelt klachten, doet onderzoek, adviseert over voorgenomen EU-wetgeving die persoonsgegevens raakt, en kan corrigerende maatregelen opleggen: een waarschuwing, een berisping, een bevel tot naleving, en een tijdelijke of definitieve beperking van de verwerking inclusief een verwerkingsverbod.

Praktische betekenis voor bedrijven

Wie als ICT-leverancier, als partner in een Horizon Europe-onderzoeksconsortium, of als subsidieontvanger persoonsgegevens verwerkt namens een EU-instelling, moet in het contract met die instelling de eisen van deze verordening naleven; de instelling zelf blijft verwerkingsverantwoordelijke en draagt de uiteindelijke verantwoordelijkheid tegenover de EDPS.

Toezicht NL

Geen. De Autoriteit Persoonsgegevens heeft over verwerking door de EU-instellingen zelf geen bevoegdheid; die ligt exclusief bij de EDPS.

Boete

Deze verordening bevat geen bevoegdheid voor de EDPS om een geldboete op te leggen aan een EU-instelling — anders dan de Autoriteit Persoonsgegevens onder de AVG bij een bedrijf. Naleving wordt afgedwongen met bindende corrigerende maatregelen en, in het uiterste geval, met een procedure bij het Hof van Justitie; een EU-instelling zichzelf een boete uit eigen begroting laten betalen, heeft de wetgever niet als zinvol instrument gekozen.