In Nederland heerst een hardnekkig misverstand. Veel semi-overheidsinstellingen en geprivatiseerde publieke diensten denken dat ze geen data beschikbaar hoeven te maken. De juridische realiteit is anders. De EU schrijft voor dat hoogwaardige datasets beschikbaar moeten worden gemaakt in het belang van innovatie en economische groei. Dus wetenschappers en ondernemers: grijp deze kans.
Schaft de Digitale Omnibus (AVG) het Scania-arrest af? Nee
Omnibus onder vuur
In allerlei publicaties wordt de stelling verdedigd dat de concept-Digitale Omnibus (over onder meer aanpassingen in de AVG) de juridische werking van het Scania-arrest (C-319/22) teniet zou doen: in onder meer iBestuur, en op Linkedin. Een nauwkeurige lezing van de tekst suggereert echter anders. De Commissie zet geen streep door Scania, maar bakent de reikwijdte ervan af.
Indirect persoonsgegevens
In het arrest Scania oordeelde het EU Hof dat als gegevens (zoals chassis-nummers) voor de ontvanger persoonsgegevens zijn, zij dit indirect ook voor de verstrekker zijn. De vrees voor uitholling van dit arrest is gebaseerd op de door de Commissie voorgestelde toevoeging aan artikel 4 sub 1 AVG: “Such information does not become personal for that entity merely because a potential subsequent recipient has means reasonably likely to be used to identify the natural person to whom the information relates.” De crux voor de juiste lezing van deze zin, zit wat mij betreft in het woordje ‘potential.’
Wat is het verschil
Er moet een onderscheid worden gemaakt tussen een daadwerkelijke en een potentiële gegevensoverdracht:
– De Scania-doctrine (Daadwerkelijke overdracht): In het Scania-arrest was er sprake van een feitelijke terbeschikkingstelling van gegevens aan onafhankelijke marktdeelnemers. Omdat de data daadwerkelijk werden overgedragen aan een partij met identificatiemiddelen, werkte de status van persoonsgegeven indirect door naar de originele verstrekker.
– De Omnibus-tekst (Potentiële overdracht): De voorgestelde wetstekst adresseert uitsluitend de potentiële opvolgende ontvanger (“potential subsequent recipient”). Deze bepaling beoogt te voorkomen dat intern verwerkte, gepseudonimiseerde data kwalificeren als persoonsgegevens louter op basis van het theoretische feit dat er zich ergens in de wereld een partij bevindt die deze zou kunnen ontsleutelen.
Een afbakening dus
Conclusie: De Europese Commissie vernietigt met de concept- Digitale Omnibus het Scania-arrest niet, maar codificeert de logische grenzen van het relatieve persoonsgegevensbegrip, zoals eerder bevestigd in de SRB-zaak: indien u data daadwerkelijk overdraagt aan een partij met identificatiecapaciteit, kwalificeren de data ook voor u als persoonsgegevens. Blijft het bij een hypothetische, potentiële ontvanger, dan is deze kwalificatie niet aan de orde. De voorgestelde toevoeging biedt daarmee zoals de Commissie zelf ook stelt een verduidelijking van de huidige jurisprudentie, zonder afbreuk te doen aan de fundamentele beschermingsgedachte van het Hof.
De EHDS schrijft al een uitgebreide toets voor. Een extra nationale ethische beoordeling als voorwaarde voor een datavergunning voegt niets toe en schaadt innovatie.
Ziekenhuizen en IT-leveranciers krijgen te maken met Europese eisen voor elektronische patiëntendossiers. De EHDS en de Nederlandse Wegiz botsen op essentiële punten.