6.1 Rationale en betekenis
84. Artikel 8 van het handvest van de grondrechten van de EU en artikel 6 VWEU eist dat het fundamentele recht op de bescherming van persoonsgegevens dient gegarandeerd te worden op consistente en gelijke wijze doorheen de hele EU. Dit is een van de centrale doelstellingen van de AVG. Om aan deze doelstelling inzake een geharmoniseerde toepassing van de privacyregels te kunnen beantwoorden werd voorzien in een mechanisme die een gelijke interpretatie en toepassing van de privacyregels door de verschillende toezichthoudende autoriteiten dient te waarborgen en tevens bijdraagt tot het oplossen van conflicten inzake het One-Stop-Shopmechanisme.129 Het
coherentiemechanisme bestaat aldus uit verschillende procedures die hieronder verder zullen worden uiteengezet.
85. Artikel 63 AVG voorziet een ruime formulering van het coherentiemechanisme: “Teneinde bij te dragen aan de consequente toepassing van deze verordening in de gehele unie werken de toezichthoudende autoriteiten met elkaar en waar passend samen met de Commissie in het kader van het in deze afdeling uiteengezette coherentiemechanisme.” 86. Het is belangrijk te benadrukken dat dit mechanisme een uitzondering vormt op het One-
Stop-Shopmechanisme wanneer deze geen uniforme toepassing van de AVG kan garanderen. Het is de bedoeling dat grensoverschrijdende zaken op een snelle en meer efficiënte manier kunnen aangepakt worden. Het verlengen van de samenwerkingsprocedure dient dan ook zoveel mogelijk voorkomen te worden.130
6.2 EDPB
87. Het orgaan die de spilfiguur vormt van het coherentiemechanisme is het Europees Comité voor gegevensbescherming (verder: EDPB). Deze nieuwe instantie werd opgericht ter vervanging van de Artikel 29-werkgroep. De EDPB is een onafhankelijk Europees orgaan en in tegenstelling tot de Artikel 29-werkgroep heeft het orgaan rechtspersoonlijkheid. Dit
128 EDPB, “Contribution of the EDPB to the evaluation of the GDPR under Article 9, adopted on 18 February 2020, p.3,
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_contributiongdprevaluation_20200218.pdf.
129 R. ROBERT, “Le Comité Européen de la protection des données: le garant d’un nouvel ordre?”, in (ed.) O. TAMBOU,
Manual de droit Européen de la protection des données à caractère personnel,Olivia Tambou, Bruylant, 2020.
130 C. KUNER, et al., “The EU General Data Protection Regulation (GDPR): a Commentary.” Oxford, Oxford University Press,
30 omdat er ook bindende besluiten worden genomen. Het Comité is geen echte Europese gegevensbeschermingsautoriteit, maar de onafhankelijkheid wordt in de AVG sterk benadrukt. Dit vloeit voort uit het wantrouwen van enige mogelijke invloed die de lidstaten of de instellingen van de Unie zouden kunnen uitoefenen op dit orgaan.131
88. Het nieuwe orgaan bestaat uit de hoofden van alle nationale gegevensbeschermingsautoriteiten en de Europese toezichthouder voor gegevensbescherming.132 De Commissie is geen lid, maar kan deelnemen aan de
activiteiten van het comité zonder stemrecht. De beslissingen worden in principe genomen bij gewone meerderheid van de leden. In het algemeen heeft de EDPB de opdracht op te treden als waakhond inzake de consistente en consequente toepassing van de AVG in de hele EU.133 Artikel 70 AVG bevat een lijst met de taken van het Comité. Een van hun
belangrijkste taken bestaat uit het uitvaardigen van richtsnoeren, aanbevelingen en best practices om de interpretatie van beginselen van de AVG te verduidelijken.134 Ook dient het
Comité de samenwerking en de effectieve bilaterale en multilaterale uitwisseling van informatie tussen de toezichthoudende autoriteiten te bevorderen.135
6.3 Artikel 64 AVG
89. Ter volledigheid dient eerst en vooral artikel 64 AVG vermeld te worden. Het coherentiemechanisme wordt onder andere geactiveerd door de toepassing van dit artikel. De adviserende functie van de EDPB staat hier centraal. De toezichthoudende autoriteiten zijn verplicht het advies te vragen van de EDPB wanneer men het voornemen heeft bepaalde maatregelen te nemen zoals onder andere verwerkingsactiviteiten die een gegevensbeschermingseffectbeoordeling vereisen of een specifieke gedragscode.136
Hiernaast kunnen niet alleen de toezichthoudende autoriteiten, maar ook de voorzitter van de EDPB of de Commissie het mechanisme activeren en verzoeken dat aangelegenheden van algemene strekking of met rechtsgevolgen met een wezenlijk gevolg voor een significant aantal betrokkenen in meer dan één lidstaat worden onderzocht door de EDPB teneinde advies te verkrijgen137 en teneinde te voldoen aan de voorwaarde inzake de
geharmoniseerde toepassing van de AVG doorheen de gehele EU.
131 R. ROBERT, “Le Comité Européen de la protection des données: le garant d’un nouvel ordre?”, in (ed.) O. TAMBOU,
Manual de droit Européen de la protection des données à caractère personnel,Olivia Tambou, Bruylant, 2020.
132 Artikel 68, lid 3 AVG; Overweging 139 en 140 AVG.
133 R. ROBERT, “Le Comité Européen de la protection des données: le garant d’un nouvel ordre?”, in (ed.) O. TAMBOU,
Manual de droit Européen de la protection des données à caractère personnel,Olivia Tambou, Bruylant, 2020.
134 Artikel 70, lid f) AVG. 135 Artikel 70, lid u) AVG. 136 Artikel 64, lid 1 a) en b) AVG. 137 Artikel 64, lid 2 AVG.
31 6.4 Bindende geschillenbeslechting door de EDPB: artikel 65 AVG
90. Niettegenstaande de EDPB vooral een adviserend orgaan is, heeft ze in een aantal gevallen ook een bindende beslissingsbevoegdheid. In het kader van het OSS-mechanisme is dit van groot belang. Tegenover de nationale aanpak vervat in het One-Stop-Shopmechanisme staat namelijk de gezamenlijke aanpak door alle nationale autoriteiten door middel van bindende beslissingen uitgevaardigd door de EDPB.138 In drie gevallen zal de EDPB overgaan
tot het uitvaardigen van een bindende beslissing ter vrijwaring van een consistente en correcte toepassing van de AVG.
91. Ten eerste zal de EDPB tussenkomen wanneer er sprake is van een relevant en gemotiveerd bezwaar in het kader van de OSS-procedure uitgaande van de betrokken autoriteiten die niet gevolgd wordt door de leidende autoriteit.139
Ten tweede wordt de bindende geschillenbeslechting geactiveerd wanneer er verschillend wordt geoordeeld over de vraag welke betrokken toezichthoudende autoriteit bevoegd is voor de hoofdvestiging en aldus bevoegd is als leidende autoriteit.140
Tot slot zal er ook een bindend besluit uitgevaardigd worden door de EDPB indien een bevoegde toezichthoudende autoriteit de EDPB niet om advies heeft gevraagd in de gevallen voorzien in artikel 64, lid 1 AVG of het krachtens artikel 64 AVG uitgebrachte advies van de EDPB niet volgt. Dit gebeurt op initiatief van een betrokken autoriteit of de Commissie.141
92. In tegenstelling tot het OSS-mechanisme voorziet de wetgever hier wel in strikte termijnen. Het gezamenlijk bindend besluit dient genomen te worden binnen een termijn van één maand te rekenen vanaf de verwijzing van de aangelegenheid. Deze termijn kan maximum met één maand worden verlengd afhankelijk van de complexiteit van de zaak.142 Het
bindend besluit wordt in principe met een tweederdemeerderheid aangenomen.143 Indien
echter het besluit niet binnen de voorziene tijd kan worden genomen kan het besluit eveneens worden vastgesteld met een gewone meerderheid binnen twee weken na het verstrijken van de initiële periode van twee maanden.144
93. De vraag die hier rijst is hoe deze besluitvorming in de praktijk precies zal gebeuren. Volgens de EDPB neemt het orgaan geen volledig nieuwe beslissing in de plaats van de leidende autoriteit. Enkel de aspecten van de beslissing van de leidende autoriteit waar een bezwaar over bestaat zullen het voorwerp uitmaken van het onderzoek door de EDPB. De EDPB zal
138 W. DEBEUCKELAERE, “Eén jaar GDPR: kroniek van niet ingeloste verwachtingen? Een Copernicaanse revolutie of een
opsmuk van het bestaande?”, Tijdschrift voor mensenrechten, 2019, 9-12.
139 Artikel 65, lid 1, a) AVG. 140 Artikel 65, lid 1, b) AVG. 141 Artikel 65, lid 1, c) AVG. 142 Artikel 65, lid 2 AVG. 143 Artikel 65, lid 3 AVG. 144 Artikel 65, lid 3 AVG.
32 een oplossing bieden over hoe dit specifieke punt dient aangepast te worden en hoe deze geïntroduceerd moet worden in de beslissing in zijn geheel.145 Daarna dient de leidende
autoriteit, of in voorkomend geval de toezichthoudende autoriteit waarbij de klacht is ingediend, uiterlijk binnen één maand na de kennisgeving van het gezamenlijk besluit van de EDPB een definitieve beslissing te nemen op basis van het besluit van de EDPB én dient ter kennis worden gebracht aan de verwerkingsverantwoordelijke of verwerker en de betrokkene. Het definitieve besluit wordt tevens gepubliceerd op de website van de EDPB.146
94. Artikel 65 AVG werd tot nu toe nog niet geactiveerd.147
6.4.1 Het recht op behoorlijk bestuur
95. Bij het nemen van een bindende beslissing door de EDPB naar aanleiding van een bezwaar wordt in artikel 65 AVG geen melding gemaakt van de betrokkenheid van de klager en de verwerkingsverantwoordelijke of verwerker met betrekking tot het betwiste punt. Er dient echter wel rekening gehouden te worden met artikel 41 van het Handvest van de Grondrechten van de Europese Unie die het recht op behoorlijk bestuur waarborgt. Deze bepaalt het volgende:
“Eenieder heeft er recht op dat zijn zaken onpartijdig, billijk en binnen een redelijke termijn door de instellingen, organen en instanties van de Unie worden behandeld. Dit recht behelst met name: het recht van eenieder te worden gehoord voordat jegens hem een voor hem nadelige individuele maatregel wordt genomen, het recht van eenieder om inzage te krijgen in het hem betreffende dossier, met inachtneming van het gerechtvaardigde belang van de vertrouwelijkheid en het beroeps- en het zakengeheim en de plicht van de betrokken diensten, hun beslissingen met redenen te omkleden.”
96. Aangezien de EDPB een Europees orgaan is, dient men dit artikel te respecteren. Hier wordt door de EDPB aan beantwoord door het ontwikkelen van procedurele regels voor wat betreft de werking van hun instantie. Artikel 11, lid 1 van de European Data Protection Board Rules of Procedure stelt namelijk dat de EDPB dient te garanderen dat elke persoon die nadelig wordt getroffen moet worden gehoord. Dit impliceert niet dat de procedure voor de EDPB een mondeling recht om gehoord te worden omvat. Het recht wordt schriftelijk uitgeoefend en er is aldus geen sprake van een effectieve hoorzitting waar de belanghebbenden zich verdedigen. De EDPB steunt in dit geval op de autoriteiten. Zij zullen
145 Bijlage 5 – Interview EDPB, p.132. 146 Artikel 65, lid 6 AVG.
147 EDPB, “Contribution of the EDPB to the evaluation of the GDPR under Article 9, adopted on 18 February 2020, p.3,
33 in naam van de EDPB de partijen vragen hun standpunt te geven over de documenten met betrekking tot het bezwaar. Daarna hebben ze de plicht om dergelijke schriftelijke opmerkingen van de partijen die mogelijks nadelig geraakt worden door het bindende besluit in te dienen bij de EDPB.148 Op deze manier werken is ook voordelig omdat de
betrokken autoriteit de taal van de klager spreekt en de leidende autoriteit de taal van de verwerkingsverantwoordelijke.149 Op die manier zal de EDPB technisch gezien voldoen aan
het recht om gehoord te worden gewaarborgd in het Handvest. Hierbij kunnen enkele vraagtekens bijgeplaatst worden. Artikel 41 van het Handvest eist namelijk dat het de taak is van de Europese instellingen om deze rechten te garanderen, en niet die van de autoriteiten.150
97. Het is echter ook mogelijk dat tijdens de behandeling van de zaak bijkomende elementen naar boven zullen komen waarbij de EDPB bijkomende vragen zal stellen aan de belanghebbende partijen die niet door de autoriteiten werden aangehaald zodat wordt voldaan aan het recht om gehoord te worden. In dit geval zal de EDPB de partijen zelf schriftelijk horen.151
98. De EDPB geeft aan dat men heeft geopteerd voor deze manier van werken om te kunnen voldoen aan de opgelegde wettelijke deadline van een maand.152 Omtrent deze deadline
kunnen toch enige vraagtekens geplaatst worden. Een termijn van een maand lijkt op het eerste gezicht toch relatief kort te zijn, zeker wanneer het gaat over een omvangrijk bezwaar omtrent een klacht die reeds jaren onderzoek heeft vereist.
6.4.2 Beroepsmogelijkheden
99. Voor wat betreft het besluit van de EDPB kunnen de betrokken autoriteiten die niet akkoord gaan een beroep tot nietigverklaring instellen binnen twee maanden na de kennisgeving ervan bij het Hof van Justitie onder de voorwaarden van artikel 263 VWEU. Wanneer de verwerkingsverantwoordelijke, verwerker of de klager rechtstreeks en individueel wordt geraakt door het besluit van de EDPB, kan ook hij of zij binnen twee maanden na de bekendmaking van het besluit op de website van de EDPB een beroep tot nietigverklaring instellen onder de voorwaarden van artikel 163 VWEU bij het Hof van Justitie.153
148 Artikel 11, lid 2 van de European Data Protection Board Rules of Procedure,
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_rop_version_6_adopted_20200129_en.pdf.
149 Bijlage 5 – Interview EDPB, p. 132-133.
150 C. KUNER, et al., “The EU General Data Protection Regulation (GDPR): a Commentary.” Oxford, Oxford University Press,
2020.
151 Bijlage 5 – Interview EDPB, p.132-133. 152 Ibid.
34