gegevensbeschermingsautoriteit (18 april 2020).
Dhr. Debeuckelaere: In verband met het One-Stop-Shop-mechanisme, we hebben heel wat discussies gevoerd over hoe dat zou moeten gaan en wat de draagwijdte daarvan is in het begin toen het systeem werd voorgesteld, dat was in 2011. Ik was daar eigenlijk zwaar tegenstander van. Niet tegen het idee van de One-Stop-Shop als zodanig, maar wel dat dit dus in eerste instantie bij de nationale autoriteiten zou blijven. Eerst en vooral vond ik dat een klein beetje een ondergraven van het idee van een Europese aanpak, van een communautaire aanpak. Ten tweede vond ik dat dus hopeloos tijdverlies voor belangrijke dossiers. Dossiers waar verschillende landen bij betrokken zijn, soms allemaal. Ik denk dan aan Google, Microsoft, Facebook omdat elk land daarbij betrokken is en het een wonder zou zijn dat de autoriteit van de belangrijkste vestiging, de Lead Authority, dat die eigenlijk iets zou maken dat aanvaardbaar is voor elk van die andere landen. Bijkomend, maar dat mochten we niet altijd luidop zeggen, was er ook het probleem dat wij hierdoor in een flessenhals zouden kunnen terecht komen, in die zin dat alle belangrijke verwerkers zich vestigen in landen die een zeer gunstig, vriendelijk regime hebben. In eerste instantie fiscaal maar ook qua data protection. We hebben dat gezien dat dit ook realiteit is en dat ze massaal in Ierland terecht komen. Er is het gemak natuurlijk van de taal. Dat moet je niet onderschatten. Die grote bedrijven kennen maar één taal, het Engels,
111 het Amerikaans Engels. Eigenlijk hebben ze een bepaalde voorliefde voor landen die dat dan ook koesteren. En het fiscale speelt ook een belangrijke rol natuurlijk. In Ierland was de vroegere data protection wetgeving ook een lachertje. De maximumstraf was 5000 euro. Daarenboven was het ook zo dat die autoriteit zeer klein was. Dit waren vriendelijke mensen, maar eigenlijk werd er daar weinig gedaan en dat is eerlijk gezegd niet veranderd met de GDPR. De autoriteit heeft veel meer mensen en financiële slaagkracht bijgekregen, maar uiteindelijk is er daar niets uitgekomen. We zijn nu bijna 700 dagen verder.
Manon: In dagen lijkt het inderdaad nog langer
Dhr. Debeuckelaere: Sinds april 2018 en als je dus kijkt naar de beslissingen die getroffen zijn, daar is in het kader van het IMI-systeem nog niets gezegd. Dus ook niet van de klachten die zijn binnengebracht enkele minuten na middernacht. Waaronder ook dossiers vanuit België. Dat is op zich wraakroepend, omdat er geen enkel systeem is waardoor dat de betrokken autoriteiten of lidstaten the Lead Authority kunnen aansporen, dwingen om iets te doen. De Board heeft ook geen enkele vorm van macht om het dossier naar zich toe te trekken, wat we klassiek in het recht evocatie noemen. Ik heb daar ook op gesproken en gezegd dat er een systeem moet komen waarbij dat ofwel termijnen daarvoor zorgen ofwel een beslissing van de Board. We zouden bv. kunnen denken wanneer er een gekwalificeerde meerderheid, een belangrijke meerderheid of zelfs een gewone meerderheid is dat het dossier kan geëvoceerd worden door de Board. Men zou ook een automatisme kunnen voorzien, als er na drie maanden geen voorstel zou uitkomen, dan gaat het dossier naar de Board. Het is ook niet alleen Ierland, dat moet ik ook in alle eerlijkheid zeggen, Luxemburg zit ook al twee jaar te kauwen op een dossier van Amazon. Het grote probleem is ook dat wat je het lagere fruit noemt, the low hanging fruit, dat kan door de nationale autoriteiten vrij snel opgepikt worden. Er zijn beslissingen, er zijn zelfs belangrijke beslissingen, maar uiteindelijk het ganse mechanisme werkt blijkbaar vrij goed voor kleine dossiers, waar een paar landen bij betrokken zijn. Het werkt zeer langzaam tot zeer moeizaam voor de grote dossiers. Het neemt veel energie, maar goed het werkt voor die kleine zaken. Echter is er nog geen enkele grote zaak die zelfs nog maar aan een begin staat. Dit is natuurlijk demotiverend. Ik heb altijd verdedigd dat men in eerste instantie de grote jongens moet aanpakken. Dat was ook de bedoeling toen we samen met Duitsland, Nederland, Frankrijk, Spanje het dossier Facebook hebben opgestart, dat nu trouwens ook gestrand is op die One-Stop-Shop. Je kent de zaken die voor het Europees Hof van Justitie hangende is?
Manon: Ja, ik ben hiervan op de hoogte.
Dhr. Debeuckelaere: Goed, dat is wel interessant hé. Manon: Inderdaad, zeer interessant.
112 Dhr. Debeuckelaere: Maar eigenlijk zal dit nooit tot een oplossing komen. Eigenlijk kan de oplossing maar komen vanuit de European Data Protection Board. En dan moet er eerst een beslissing zijn van de Ierse autoriteit. Nu die had dit al 2 jaar geleden kunnen doen, maar dat is nog altijd niet gebeurd. Dus daar zit je met een gigantisch probleem van rechtshandhaving. We zijn bezig met de kleine garnalen af te straffen en uiteindelijk zijn het de grote jongens die de bakens zetten, die de politiek bepalen, die eigenlijk ook de standaarden meegeven. Die blijven ongemoeid en die doen gewoon vrolijk verder. Dat is qua politiek, qua handhaving toch zeer problematisch. Er zijn een aantal mensen binnen het Europees parlement die zich daarvan bewust zijn en die dan roepen “je moet iets doen.” Dan zei ik, tot zolang ik daarbij betrokken was, dat ze ons dan wel de mogelijkheid moeten geven, zoals een evocatierecht. Geef ons een mechanisme als men na drie maanden geen enkele beslissing heeft genomen, dan onttrek je het dossier en geef je het aan de European Data Protection Board. Maar de eerlijkheid gebiedt mij te zeggen toen wij daar als Belgen kritiek hadden dat wij daar ongeveer het enige land waren dat dit officieel hebben neergelegd. De meeste landen zeiden bijna niets en de meeste grote autoriteiten, die vonden het eigenlijk best leuk dat ze hun eigen bevoegdheid bleven behouden. Frankrijk, Spanje, Duitsland, Groot-Brittannië minder. Ook een beetje in die zin van “wij zijn grote jongens, wij kunnen dit wel aan.” Dit is natuurlijk ook voor een stuk waar, als je kijkt naar de numerieke bemanning van bepaalde autoriteiten. Duitsland, dit zijn bijna duizend mensen, als die machine op gang komt, dan kan je wat doen. België is ook geen grote autoriteit, maar echt klein kun je ze ook niet noemen als je die vergelijkt met andere landen. Er zijn verschillende landen die het moeten doen met vijf, zes of zeven mensen.
Manon: Tot op vandaag ook nog?
Dhr. Debeuckelaere: Ja, ja zoals in Cyprus en Malta. Ik schiet nu misschien te veel op de Ieren, maar dat kan binnen een jaar zich verplaatsen en dat men allemaal naar Luxemburg zou gaan of dat men en masse naar een ander land zou gaan om te genieten van het feit dat de autoriteit niet veel voorstelt. Er zou eigenlijk hiervoor een oplossing moeten komen. Ik weet niet of u in uw werk ook daarover schrijft over mogelijke oplossingen om dit te doorbreken.
Manon: Ik focus me vooral op wat er fout loopt en ik focus me ook specifiek op één case, namelijk de klacht die net na de inwerkingtreding van de AVG werd ingediend door NOYB bij de Belgische gegevensbeschermingsautoriteit. Eventuele oplossingen zouden ook aan bod komen.
Dhr. Debeuckelaere: Ze hebben ook een klacht neergelegd bij de Duitse autoriteit en bij de Oostenrijkse.
Manon: Ja inderdaad en ook bij de Franse.
113 Manon: Ja, inderdaad.
Dhr. Debeuckelaere: Enkele weken later heeft Google zijn main establishment in Europa in Ierland geplaatst. Nu, ik zie hier eigenlijk drie mogelijkheden. In verband met een generieke, algemene oplossing, dat zal een aantal wijzigingen vragen van de GDPR. En eigenlijk is iedereen daar als de dood voor om dat doosje te openen. Men noemt dat het openen van de doos van Pandora. Nochtans denk ik met een aantal chirurgische ingrepen, dat dit wel zou kunnen. Maar bijvoorbeeld het feit dat gans de discussie rond de E-privacy van 2002 eigenlijk in het slop zit, ik vrees ervoor dat men eigenlijk niet veel zal doen. Want nu in mei, dus heel binnenkort, moet de Commissie een eerste evaluatierapport neerleggen.
Manon: Ja inderdaad.
Dhr. Debeuckelaere: In februari werd een eerste evaluatie gepubliceerd door de EDPB. Dat is geen evaluatie hé. Sorry, maar dit is voornamelijk feitenmateriaal, cijfermateriaal. Dat is zeer goed, maar dit is eigenlijk materiaal voor een jaarrapport. Er staat daar weinig evaluatie in. Integendeel, men zegt dat alles vrolijk in orde is terwijl men eigenlijk niet spreekt over al die dossiers die geblokkeerd zitten. Ik was eigenlijk niet alleen teleurgesteld, maar ook verbaasd dat men zo’n werkstuk naar voor brengt zonder enige kritische reflectie. Toen ik ondervoorzitter was van de EPDB, heb ik toen wel gevoeld dat dit allemaal bijzonder gevoelig lag. Er heerste een sfeer van collegialiteit en “we moeten elkaar beschermen.” Ja, ik heb mij daar altijd vreselijk tegen verzet. Als het geblokkeerd is, is het geblokkeerd. Het is eigenlijk ook zo dat er daar weinig materiaal over bestaat. Eigenlijk weten alleen de Ieren 100% duidelijk hoeveel materiaal er daar ligt te wachten op een oplossing. Als je naar hun website gaat, dan vind je daar niks over terug.
Manon: Ze hebben hun jaarlijks rapport recent gepubliceerd maar veel details worden er niet vermeld.
Dhr. Debeuckelaere: Exact. Ze zeggen niet bijzonder veel. Ik denk dat er aan een aantal zaken zou moeten gewerkt worden. Ten eerste, ik zou er eigenlijk voor pleiten dat van zodra een dossier repercussies geeft op een derde of op de helft, je kan hierover discussiëren, van de betrokken landen dat dit dan meteen op het niveau komt van de EPDB. Dat dan eigenlijk het dossier in handen genomen wordt door het Secretariaat van de EPDB en niet van de leidende autoriteit die natuurlijk een heel belangrijke rol kan blijven spelen maar dat de regie moeten dan worden gevoerd door het Secretariaat. En waarom zeg ik dat? Om de zeer eenvoudige reden dat ik ervanuit ga dat als het gaat over een zeer breed dossier, waarbij zeer veel landen bij betrokken zijn, dat het bijna ondenkbaar is dat men in de eerste fase die de nationale fase is, dat men daar tot een oplossing komt. Het is bijna onmogelijk te denken dat dit kan.
114 De tweede reden is dat dus de procedure zoals deze nu is uitgetekend, dat er daar geen termijnen zijn voorzien. Dus de lidstaten kunnen nu zeer veel tijd nemen, maar eenmaal het op de EDPB komt, zijn die termijnen bijzonder klein. Het is bijzonder onmenselijk, alleen al qua vertalingen, qua volume van stukken die moeten vertaald en uitgewisseld worden. Dit is bijna onmogelijk. En dat hoor ik nu ook, in het IMI-systeem, dat het op zich zeer goed werkt, maar dat een van de problemen is nl. het vertalen, het omzetten van alle bewijsstukken in het Engels. Je kan niet verwachten dat met de nationale taal kan worden gewerkt. We hebben er trouwens ook niet lang over gediscussieerd en gezegd dat het Engels de communicatietaal is en we gaan dat zo houden. Dit betekent dat er een aantal praktische zaken moeten kunnen geregeld worden zoals vertalingen, maar ook de capaciteit van de autoriteiten. Niet elke autoriteit kan iemand van de ene op de andere dag vrij maken om een draft decision helemaal te onderzoeken. Je hebt daar tijd voor nodig. Dat is dus mijn eerste piste, van zodra dat het gaat over een dossier waarbij de kritische drempel wordt overschreden van het aantal landen dat hierbij betrokken is. Ik zou uit praktische overwegingen pleiten dat van zodra een derde van de lidstaten mee betrokken is, de zaak meteen door de EDPB wordt behandeld. Dat is één. En dat het Secretariaat van de EDPB de regie voert, de termijnen bepaalt en de opdrachten kan geven. Dan zou de leidende autoriteit toch nog belangrijk werk te doen hebben, qua onderzoek en communicatie.
Een tweede mogelijkheid zou kunnen zijn, wanneer een aantal autoriteiten vragen dat de zaak door de Board wordt behandeld, dat dit dan ook meteen kan gebeuren, zonder dat er een draft decision moet komen.
Manon: Na een bepaalde termijn dan?
Dhr. Debeuckelaere: Ik zeg nu maar iets, wanneer twee of drie autoriteiten meteen aan de alarmbel trekken en zeggen: “kijk, dit is hier een dossier van groot belang, we willen dat dit door de Board wordt behandeld.” In dit geval zou de regie dan ook weer in handen vallen van het Secretariaat. Ten derde denk ik, dat er een derde mogelijkheid moet voorzien worden, namelijk dat het Bureau, dat zijn de voorzitter en de twee ondervoorzitters, op verzoek van gelijk welke belanghebbende een zaak kunnen evoceren. Dan kan het dossier meteen in handen genomen worden door de EDPB. Je kan dan discussiëren of de leidende autoriteit aan de kant mag gezet worden. Dat zijn allemaal zaken die moeten bekeken worden. Dit zijn de drie pistes waar ik aan heb gedacht. Dit zou een mogelijke oplossing kunnen bieden en daarbij zou niet zo veel moeten veranderd worden aan de GDPR. Ik heb me nooit verzet tegen het systeem van het uniek loket. Ik heb wel altijd gepleit voor een sterke EDPB. Maar ja, dat is natuurlijk vandaag niet het geval, want dat zou natuurlijk een aanpassing vragen van de GDPR en dat zit er nu zeker niet in. Er is ook een zekere moeheid. Het feit dat de E-privacy richtlijn maar niet kan omgezet worden in een verordening. Men is een beetje bang van gans dit dossier maar men zal uiteindelijk niet anders kunnen, tenzij men zegt “we stoppen ermee.” Een stringente
115 regeling gaan uitrollen en alleen maar de kleine bedrijven gaan aanpakken, dat is om te lachen. Het is niet rechtvaardig ook.
Manon: En toen de klacht werd neergelegd door NOYB, dan was u wel nog een jaar voorzitter van de Gegevensbeschermingsautoriteit. Dus eigenlijk heeft u wel ervaring met de beginfase van die klacht?
Dhr. Debeuckelaere: Ja, maar de dag erop hebben we dit al moeten doorsturen naar de Ieren. De klacht was vooral gericht op Whatsapp geloof ik?
Manon: Op Instagram.
Dhr. Debeuckelaere: Juist, dus dat was ook Ierland. Het was overduidelijk dat we dit moesten doorsturen naar Ierland. Uiteraard maakt dit wel dat we een betrokken partij zijn, terwijl dat eigenlijk elk land betrokken is, maar goed. We hebben dan ook constant zitten aandringen bij de Ierse collega’s om te weten wat er al gebeurd was. We zijn nooit iets te weten gekomen. Dat heeft ook discussies met zich meegebracht, vooral in de 2-maandelijkse vergaderingen. Maar nu geven de Ieren, wat ze vroeger niet deden, een soort van stand van zaken. Dit is blijkbaar zodanig algemeen. Het zit strop. Dit is overduidelijk en dat heeft natuurlijk te maken met het feit ook dat ze een enorme workload hebben en daar steken ze zich voor een stuk achter. Dat zal ook wel zo zijn, maar dat was jaren op voorhand van kilometers ver te zien. Ik heb ook nooit begrepen dat mijn collega’s dat niet wilden inzien. Dat was zo een toverwoord. The One-Stop-Shop. Ik heb altijd gezegd dat ik niet tegen de One-Stop-Shop ben, maar je die niet in functie van de belangen van de verantwoordelijken voor de verwerking moet leggen, maar in het belang van de betrokken burger. Je kan ook een One-Stop-Shop-systeem hebben met als aanknopingspunt de plaats waar de klacht wordt neergelegd. Ik ben daar ook geen voorstander voor omdat dit ook tot shopping zal leiden. Dan zal men heel gemakkelijk naar de meest actieve, “wilde” autoriteit stappen. Dat is misschien ook niet het beste. Ik denk wel dat het mogelijk moet zijn om een systeem uit te dokteren dat evenwichtig is en dat wanneer het gaat om een Europees probleem het dan ook door een Europese instelling wordt aangepakt. Dat is een algemene kritiek die je kunt formuleren op het geheel van de GDPR die met veel bombarie heeft verkondigd dat het ging om een Europese eenmaking van wet en regelgeving maar die eigenlijk op het vlak van controle en rechtshandhaving net het omgekeerde heeft gedaan. Dus ja, dit is nogal contradictorisch, maar het is de realiteit. Het is natuurlijk ook zo dat er de laatste tien jaar nogal wat tegenstand is tegen een communautaire Europese aanpak en dat men nogal de neiging heeft om die nationale poot te sterken. Misschien kan dit wel in bepaalde omstandigheden, maar ik denk dat voor zoiets globaals als gegevensverwerking dat dit nefast is. Eigenlijk is Europa daar te klein voor. Had je nog een aantal vragen voorbereid? Manon: Wel ja, ik heb een paar vraagjes op gesteld. In verband met de case inzake Instagram, daar was er ook geen discussie inzake het bepalen van de leidende autoriteit. De zaak werd
116 doorgestuurd naar Ierland, maar ik vraag me soms af als je effectief de definitie toepast, zou je dan echt uitkomen in Ierland? Gebeurt daar effectief de gegevensverwerking?
Dhr. Debeuckelaere: We hebben ons ook altijd die vraag gesteld. En wie bepaalt er de main establishment? Dat wordt bepaald door de onderneming, het bedrijf zelf. Ze vestigen zich ergens en dat betekent dat wat zij zeggen, dat het zo is. Uiteindelijk ligt de eindbeslissing wel bij de verschillende autoriteiten. Maar natuurlijk zijn de autoriteiten bijna 100% afhankelijk van de informatie die door die organisatie, onderneming, concern wordt gegeven. Je hebt een aantal aanknopingspunten nl. de fiscale hoofdzetel, het aantal personeelsleden die hierin betrokken zijn, de manier waarop er gewerkt wordt… Op die manier kan je wel zeggen dat je kan accepteren dat de hoofdzetel en de leidende autoriteit zich in dat land bevindt. In de meeste gevallen is er daar weinig discussie over. Ik weet dat er een paar discussies waren in het IMI-systeem maar dat is blijkbaar vrij vlot opgelost. Het bepalen van de leidende autoriteit dat is echt geen groot probleem denk ik. Je bent natuurlijk heel sterk afhankelijk van de informatie die men daar zelf geeft. Wat is een onderneming? Dat is ook zoiets hé. In de Facebook-zaak, dat was onder het oude regime, hebben wij eigenlijk de drie entiteiten van Facebook, die op het eerste gezicht in het vizier kwamen, gedagvaard. Zowel de Belgische als