Belgische gegevensbeschermingsautoriteit (9 december 2019).
Manon: Mijn eerste vraag voor u, wat is uw specifieke functie?
Dhr. Hijmans: U bent hier bij de gegevensbeschermingsautoriteit. Ik ben de voorzitter van de Geschillenkamer en wij zijn verantwoordelijk voor de handhaving en de sanctie-oplegging, zowel in nationale zaken als in het kader van internationale zaken. We krijgen hier klachten of onderzoeken die binnen de nationale context spelen en daarnaast ook heel veel klachten waar wij leidende autoriteit zijn of betrokken autoriteit en dit komt dan tot bij ons via het IMI- systeem.
Manon: Zoals u weet focus ik mij op de grensoverschrijdende zaken in het kader van de One- stop-shop-procedure dus de vragen zullen hierop betrekking hebben. Een van de doelstellingen van het principe is vereenvoudiging waarbij de leidende autoriteit een centrale rol speelt in de procedure. Wat zijn de moeilijkheden en de discussies omtrent het bepalen van de leidende autoriteit en dus het bepalen van de hoofdvestiging?
Dhr. Hijmans: Wat ik heb gezien in de praktijk is dat het op dit punt vrij goed loopt. Ik heb nog geen discussie gezien waarin dat niet werkt. In een vroeg stadium van de procedure sturen wij de zaak in het IMI-systeem door voor de eerste stap in de procedure om te bepalen wie leidend is en wie concerned is. We doen dit op verschillende manieren. We hebben het een aantal keren voorgehad dat we een klacht kregen tegen organisaties waarbij we er dan later achter kwamen dat de hoofdvestiging in Nederland of Duitsland is gevestigd. Dan sturen we de klacht door en zetten we het in het IMI- systeem en zeggen we “wij vermoeden dat de Nederlandse autoriteit bevoegd is”. Zo werkt dat ongeveer. Dit is niet wat zeg maar ingewikkeld is en waar we slecht uit komen.
Manon: En komt het in de praktijk veel voor dat er sprake is van forum shopping ?
Dhr. Hijmans: Dit valt eigenlijk wel mee. Ik heb niet die indruk, maar dat is allemaal de eerste maanden. We doen dit al een half jaar serieus, misschien iets langer en mijn ervaring is niet dat veel bedrijven bezig zijn met forum shopping. Ze willen heel graag zekerheid hebben, rechtszekerheid met wie ze zaken moeten doen, maar niet dat ze denken “we moeten naar de Belgen gaan want deze zijn minder streng dan de Duitsers.” Ik heb niet het idee dat dit gebeurt maar, dat is de eerste ervaring van het eerste half jaar. Dat geldt voor alles wat ik zeg.
Manon: Oke. En denkt u dat forum shopping met de toepassing van de One-Stop-Shop wordt tegengegaan of denkt u dat er toch nog ruimte voor is?
106 Dhr. Hijmans: Je kunt je voorstellen dat bedrijven op een bepaald moment een hoofdvestiging kiezen in bepaalde landen waar de autoriteit geacht wordt minder streng te zijn. Dat hele verhaal dat speelt een beetje bij de grote IT-tech bedrijven die allemaal in Ierland zitten. Dat is misschien de reden die ik kan bedenken. Dat kan zijn door de cultuur en ik denk veelal dat het vestigingsklimaat voor wat betreft de belastingen veel belangrijker zijn dan welke autoriteit bevoegd is, maar het kan zeker een rol spelen. Maar dat is iets anders en zeg maar die keuze laat de AVG toe op zichzelf.
Manon: Ja, inderdaad. Dus de bedoeling is een efficiënte samenwerkingsprocedure op basis van artikel 60 AVG. Wat mij is opgevallen is dat er bijvoorbeeld geen mechanisme wordt voorzien in artikel 60 die de leidende autoriteit verplicht om binnen een bepaalde termijn aan de betrokken autoriteit een ontwerpbesluit voor te leggen. Wat zijn de gevolgen hiervan in de praktijk?
Dhr. Hijmans: Wat ik vreemd vind, vanaf het moment dat er een ontwerpbeslissing is dan is er sprake van een strakke termijn, maar de periode daarvoor is geheel aan de leidende autoriteit. Daarvan kan je misschien wel zeggen dat dit een tekortkoming is. Er zit een logica achter, zoals wij bijvoorbeeld hier doen, we gaan een hele procedure door en onze procedure voorziet dat partijen een klachtdossier mogen indienen en dan mogen de klager en verweerder, zeg maar de betrokkene en ook de verwerkingsverantwoordelijke, hun conclusies indienen en dat gaat dan behandeld worden in een hoorzitting en uiteindelijk komen we dan met een ontwerpbeslissing. Dan hebben we al vaak een procedure van een half jaar lopen. Dus er zit wel een logica achter. Alleen is dit wel de zwakte van het systeem. En de zwakte is ook, wat wij nu zien, en dat verwijt ik zeker niet onze Ierse collega’s, maar het stapelt zich daar op en er zijn enorm ingewikkelde kwesties daar. We zijn al anderhalf jaar aan het wachten sinds de AVG in werking is getreden op een ontwerpbeslissing in zaken omtrent grote techbedrijven.
Manon: En er is dus ook geen verplichting voorzien om binnen een bepaalde tijdspanne inlichtingen te geven aan de betrokken autoriteiten. De bedoeling is dat er relevante informatie met elkaar wordt uitgewisseld maar gebeurt dit ook in de praktijk of is het vaak stil aan de overkant?
Dhr. Hijmans: Er worden wel degelijk inlichtingen uitgewisseld. En dat moet ook, alleen blijft het op een vrij globaal, algemeen niveau.
Manon: En is het altijd duidelijk wat dan precies moet worden verstaan onder het begrip relevante informatie? Dat wordt niet omschreven, is dat een tekortkoming dat het niet geheel duidelijk is wat onder relevante informatie moet worden verstaan?
Dhr. Hijmans: Nou ja, dit is niet helemaal duidelijk, denk ik, wat relevant is en wat niet relevant is.
107 Manon: Dus een definitie zou misschien wel handig zijn?
Dhr. Hijmans: Ik denk dat dit te ingewikkeld is om in de wet vast te leggen, maar je zou je kunnen voorstellen dat over deze kwesties enige handreiking, guidance namens de EDPB logisch was geweest en dat kan nog altijd komen. Het is misschien goed om te weten dat er heel veel over gesproken wordt in de Cooporation Subgroup, de EDPB zal je daar wel over vertellen, maar daar komen alle autoriteiten samen om dingen te behandelen. Die wisselen ontzettend veel uit en op die manier proberen we een beetje tot een soort geharmoniseerde aanpak te komen tussen de autoriteiten. Dus er gebeurt achter de schermen heel erg veel, maar ik kan me voorstellen als je het hebt over een specifieke klacht, dat dit niet helemaal bevredigend is omdat er weinig informatie uitkomt denk ik.
Manon: Inderdaad, het is tot nu toe moeilijk om informatie te vinden over deze specifieke case. Dhr. Hijmans: Ja.
Manon: En wat met vertrouwelijke informatie? De wetgeving verschilt van lidstaat tot lidstaat. Hoe kom je dan overeen om bepaalde documentatie wel of niet te mogen inkijken?
Dhr. Hijmans: Wat voor type informatie bedoel je?
Manon: Vertrouwelijke informatie, eventuele schending van de privacy? De wetgeving verschilt, denk ik, van lidstaat tot lidstaat in verband met de bescherming van vertrouwde informatie?
Dhr. Hijmans: Maar voor die One-Stop-Shop-zaken maakt dit denk ik niet zoveel uit denk ik. Je kunt je voorstellen misschien als er zaken zijn die te maken hebben met de nationale veiligheid, dan wel… Maar het is niet zo dat wij gaan zeggen “dit is vertrouwelijk we kunnen je dit niet geven”. Zo werkt dat niet.
Manon: Oké. We hebben het al een beetje over Ierland gehad. Gezien de hoofdvestiging van grote internationale bedrijven vaak in Dublin gevestigd zijn, wil dat dan ook zeggen dat Ierland vaak leidende autoriteit is in deze procedures. Geeft dat een impact op de werklast van de Ierse gegevensbescherming autoriteit?
Dhr. Hijmans: Het antwoord is ja.
108 Dhr. Hijmans: Ja, ze hebben een enorme werklast en wat daar nog bij komt, ze zijn enorm gegroeid van een kleine autoriteit, een autoriteit ten tijde van Max Schrems zijn eerste zaak. Daar werkten op dat moment een 20 of 30-tal mensen. Inmiddels werken er daar nu ongeveer 150 mensen. Er zijn twee dingen. Ten eerste, het probleem van de algemene werklast is gewoon heel ingewikkeld en denk daarbij aan de juridische procedure in Ierland, dat is een ander rechtstelsel dan dat van ons. Dat maakt het natuurlijk nog ingewikkelder. En een ander deel is, en dat is een vraag waar we een beetje mee worstelen in sommige kwesties, bijvoorbeeld over Cookiegebruik door Facebook. Er zijn zoveel klachten hierover. Wat moet je met die klagers doen? Moeten we al die klagers ook inbrengen in de procedure? Als je 200 klachten hebt in zulke zaken, dan kun je niet al die 200 partijen horen. Wel dat kan je wel doen maar… Het is erg ingewikkeld. Dan moet je in een soort rechtszaak zitten met horen en wederhoren en dat is praktisch ondoenbaar.
Manon: Ja. En welk effect heeft dit op de OSS-procedure? Het feit dat zij zo overbelast zijn? Dhr. Hijmans: Daar zit volgens mij wel een groot probleem. En dat geldt dus voor een paar type bedrijven waarbij dus alle andere autoriteiten betrokken autoriteit zijn. Dat is daar nu geconcentreerd bij één autoriteit van één lidstaat. Daarvan kun je je afvragen of dat allemaal functioneert en of dat wel democratisch, legitiem is. Je kan je daarbij allerlei vragen stellen. Je kan je afvragen of dit terecht is dat de monopolie in één lidstaat ligt. Maar natuurlijk, dat is de keuze die de wetgever heeft gemaakt.
Manon: En bent u hiermee akkoord?
Dhr. Hijmans: Nou ja, ik ben toezichthouder. Als academicus kan je hier veel dingen over schrijven, maar ik ben nu toezichthouder. De vraag is niet of ik hiermee akkoord ben, dit is de keuze die de wetgever heeft gemaakt. Daar moeten we dus mee werken.
Manon: Oke, ik begrijp het. En dan nog een vraag, wat zijn de procedurele rechten eigenlijk van het datasubject na het neerleggen van de klacht? In de AVG staat er uitdrukkelijk vermeld dat ze recht hebben op informatie, maar hebben zij ook recht op inzage in bepaalde documenten, het recht om gehoord te worden…?
Dhr. Hijmans: Daar zit er wel een probleem. In de Belgische wetgeving hebben de klagers behoorlijk vergaande rechten. Het is een procedure tussen de klager en de verweerder, tussen de klager en de verwerkingsverantwoordelijke of de processor. Dus volgens ons nationale recht mogen partijen de dossiers inzien. Daar zit precies het probleem. Als er straks 200 klagers zijn, dan kan dit niet meer. Het kan niet dat iedereen vertrouwelijke stukken gewoon gaat lezen. Dan heb je er gewoon geen controle meer over. Dat is een van de problemen met die grote aantal klachten. Het is bovendien een systeem dat wij hier bedachten, hier in België maar wat niet noodzakelijkerwijze in de AVG staat.
109 Manon: Dus er is geen sprake van een gestandaardiseerde klachtenprocedure over heel de EU? Dhr. Hijmans: Nee, nee.
Manon: En vindt u dat wenselijk?
Dhr. Hijmans: Euhm.. (aarzelend). Nou kijk, er moeten een aantal dingen geharmoniseerd worden, maar op zich hoe je die klacht precies indient en onder welke voorwaarden… Het lijkt me wel wenselijk dat we daar iets meer guidance over hebben, maar het is niet per se nodig denk ik. Kijk, laat me zeggen, bijvoorbeeld hier, de klachten die hier worden ingediend mogen dus niet in het Engels worden ingediend. Want in andere landen zijn ze daar vaak ongemakkelijk over. Nou goed, is dat een probleem...
Manon: En het feit dat het procedureel recht van elke lidstaat verschilt. Wat zijn de gevolgen hier dan van, voor de procedures later bijvoorbeeld voor de rechtbank?
Dhr. Hijmans: Nou dat is een interessante kwestie waar we nog niet helemaal over uit zijn, denk ik. Er zijn een aantal mechanismen in de AVG om te zorgen dat dit allemaal bij elkaar komt, en ik denk dat over dit soort vragen langzamerhand rechtspraak van het Hof zal ontstaan. Maar op zichzelf, procedureel recht verschilt, maar we voldoen wel allemaal aan minimumeisen, het zijn allemaal rechtssystemen die voldoen aan de vereisten van artikel 6 EVRM. Dan moet je ervan uitgaan dat al die systemen goed genoeg zijn om de kritiek te kunnen doorstaan. Ik denk op zichzelf dat dit niet een probleem hoeft te zijn. Maar ik denk wel hier, “the devil is in the details”, het zit ‘em in de kleine dingetjes.
Manon: Oké. Dan zijn wel al bij het laatste stukje in verband met de klacht van Non Of Your Business, in de mate waarin u kan antwoorden. Waren er daar moeilijkheden omtrent het bepalen van Ierland als leidende autoriteit, was er enige discussie?
Dhr. Hijmans: Dat weet ik niet. Dit was voor dat ik hier was. Dus dat is een gemakkelijk antwoord.
Manon: Word door Ierland vlot gereageerd op verzoeken tot informatie, inlichtingen in verband met de stand van het onderzoek?
Dhr. Hijmans: Ik denk dat ik daar niets wil over zeggen. Wij zien hier dat Non Of Your Business af en toe vraagt “hoe staat het ermee?” en dan sturen we dat door. Dus zij moeten maar zeggen of ze goed antwoord krijgen…
110 Dhr. Hijmans: Ja, maar het blijft vrij algemeen tot nu toe.
Manon: En dan als laatste vraag, de Belgische GBA is verantwoordelijk voor de communicatie met het datasubject. Lukt het om binnen een redelijke termijn de klager in kennis te stellen van het onderzoek?
Dhr. Hijmans: Nou ja, ik denk wel dat dit wel lukt, maar dat moet u aan NOYB vragen. Manon: Maar wat denkt u vanuit uw standpunt?
Dhr. Hijmans: Vanuit mijn standpunt vind ik dat we dit netjes doen. We proberen royaal en netjes contact te houden met None Of Your Business. We zullen er nog zo een paar tegenkomen de komende tijd.
Manon: Dat denk ik ook. Zijn jullie eigenlijk ook vaak leidende autoriteit?
Dhr. Hijmans: Ja we zijn behoorlijk vaak leidende autoriteit, maar dat kan ook in hele simpele dingen zijn. Een website die in Nederland dingen verkoopt, maar die dan in Antwerpen lijkt gevestigd te zijn. Het gaat heel vaak bij de toepassing van de AVG om grensoverschrijdende zaken.