Het doel van het voorstel van V&J is om nationale regels vast te stellen om de AVG uit te voeren (ook wel bekend als de GDPR-verordening), evenals om de nu geldende Wet bescherming persoonsgegevens (Wbp) in te trekken. De AP adviseert om het wetsvoorstel pas in te dienen nadat daarin met haar advies rekening is gehouden.
Onvoldoende onafhankelijkheid
Bepalingen in nationale wetgeving zijn vooral nodig voor de positie van de toezichthouder en onderwerpen waarbij ruimte is voor afwijking of aanvulling van de Europese regels. De Europese wetgever en het Europese Hof hanteren strenge eisen om de onafhankelijke positie van de nationale toezichthouders te waarborgen. De AP constateert dat het wetsvoorstel hier nog onvoldoende in voorziet.
De privacytoezichthouder adviseert daarom haar onafhankelijke positie te versterken. Bijvoorbeeld door haar begroting afzonderlijk onderdeel te laten zijn van de Rijksbegroting, evenals door te regelen dat de AP uit eigen naam kan procederen bij de Europese rechter.
Het is aan de Europese privacytoezichthouders, verenigd in de Artikel 29 Werkgroep, om een definitieve interpretatie te geven over de rechtstreeks werkende normen uit de AVG, die vervolgens zal kunnen worden gecontroleerd door de rechter. De AP adviseert daarom om in de Uitvoeringswet grote terughoudendheid te betrachten bij het uitleggen van de normen uit de AVG. Het gaat dan bijvoorbeeld om de accountability-verplichtingen (organisaties moeten kunnen aantonen dat zij zich aan de wet houden).
Waar volgens de AVG ruimte is voor afwijking of aanvulling in nationale wetgeving, kunnen bestaande bepalingen van de Wbp worden overgenomen in de Uitvoeringswet AVG. Bijvoorbeeld over bijzondere persoonsgegevens en de beperkingen van de rechten van betrokkene. Dat wordt een 'beleidsneutrale uitvoering' genoemd. De AP adviseert dit uitgangspunt consequent te hanteren in het voorstel.
Meer budget
De Autoriteit vroeg begin juni om meer budget van het Rijk om het naleven van de AVG na de inwerkingtreding beter te kunnen controleren. De staatssecretaris van Veiligheid en Justitie meldde daarop aan de Tweede Kamer dat de begroting van de AP wordt meegenomen in het wetsvoorstel voor de implementatie van de AVG.
Volgens de AP zijn er nog erg veel zaken over de gevolgen van de privacywet onduidelijk, er komen dagelijks veel vragen binnen van organisaties. Een vraag die de Autoriteit Persoonsgegevens (AP) regelmatig krijgt, is vanaf wanneer organisaties precies moeten voldoen aan de AVG. Dat is dus officieel vanaf het moment dat de wet in gaat.
Uit diverse onderzoeken die het afgelopen jaar uitgevoerd zijn, blijkt steeds weer dat organisaties, vooral in het mkb, onvoldoende op de hoogte zijn van de vergaande gevolgen van overtredingen van de AVG. Zo zou 17 procent van de bedrijven mogelijk de deuren moeten sluiten na een boete na het overtreden van de wet, bijvoorbeeld door het niet tijdig melden van een datalek.
