Rina Steenkamp - Privacy en technologie
Hoofdstuk 12. Overgangs- en slotbepalingen
1. De Lid-Staten doen de nodige wettelijke en bestuursrechtelijke bepalingen in werking treden om uiterlijk aan het einde van een termijn van drie jaar te rekenen vanaf de aanneming van deze richtlijn aan deze richtlijn te voldoen.
Wanneer de Lid-Staten deze bepalingen aannemen, wordt in die bepalingen naar de onderhavige richtlijn verwezen of wordt hiernaar verwezen bij de officiële bekendmaking van die bepalingen. De regels voor deze verwijzing worden vastgesteld door de Lid-Staten.
2. De Lid-Staten dragen er zorg voor dat verwerking die reeds bezig is op de datum waarop de ter uitvoering van deze richtlijn vastgestelde nationale bepalingen in werking treden, binnen een termijn van drie jaar te rekenen vanaf die datum wordt aangepast aan die bepalingen.
In afwijking van de eerste alinea kunnen de Lid-Staten bepalen dat de verwerking van gegevens die op de datum van inwerkingtreding van de ter uitvoering van deze richtlijn vastgestelde nationale bepalingen reeds in niet-geautomatiseerde bestanden voorkwamen, aan de artikelen 6, 7 en 8 van deze richtlijn worden aangepast binnen een termijn van twaalf jaar te rekenen vanaf de datum van aanneming van deze richtlijn. De Lid-Staten garanderen de betrokkenen evenwel het recht om desgevraagd en inzonderheid wanneer zij hun recht op toegang uitoefenen gegevens die onvolledig of onjuist zijn, dan wel opgeslagen zijn op een wijze die onverenigbaar is met de gerechtvaardigde doeleinden van de voor de verwerking verantwoordelijke, te laten corrigeren, wissen of afschermen.
3. In afwijking van lid 2 kunnen de Lid-Staten, behoudens passende waarborgen, bepalen dat gegevens die alleen voor historisch onderzoek worden opgeslagen, niet worden aangepast aan de artikelen 6, 7 en 8 van deze richtlijn.
4. De Lid-Staten delen de Commissie de tekst van de bepalingen van intern recht mee die zij op het onder deze richtlijn vallende gebied vaststellen.
Artikel 32 van de richtlijn schrijft voor dat bestaande gegevensverwerking binnen uiterlijk drie jaren in overeenstemming moeten zijn gebracht met de nationale bepalingen ter implementatie van de richtlijn. Daarbij had men in het bijzonder die lid-staten in het oog voor welke de nieuwe bepalingen een geheel nieuw regime tot gevolg zouden hebben.
In het wetsvoorstel is voor Nederland een onderscheid gemaakt tussen de verwerking van niet-gevoelige gegevens en die van de wel gevoelige gegevens. Met dat laatste wordt gedoeld op alle gegevens voor welke een bijzondere regeling geldt ingevolge paragraaf 2 van Hoofdstuk 2. Voor de niet-gevoelige gegevens verandert er slechts in mindere mate iets dan voor de overige.
Voor de niet-gevoelige gegevens geldt dat zowel voor de private als voor de publieke sector de normen in beginsel dezelfde uitwerking zullen hebben. Weliswaar gold onder de WPR voor persoonsregistraties in de private sector een zwakker regime dan voor de publieke sector. Voor de private sector gold dat een persoonsregistratie mocht worden aangelegd voor een doel waartoe het belang van de houder redelijkerwijs aanleiding gaf. Voor de publieke sector gold het noodzakelijkheidsvereiste. In de praktijk is dit verschil niet tot wasdom gekomen en werden feitelijk dezelfde eisen gesteld. In haar advisering heeft de Registratiekamer al enige tijd geanticipeerd op de richtlijn. Voor private registraties zal er daarom van kunnen worden uitgegaan dat wanneer een registratie toelaatbaar was onder de WPR, dit ook het geval is onder de WBP. Tegen deze achtergrond is het verantwoord hier te kiezen voor een kortere overgangstermijn, nl. een half jaar. Uiteraard geldt deze termijn slechts voor verwerkingen die voorafgaande aan de inwerkingtreding hebben plaatsgevonden. Gegevensverwerking van na dat tijdstip dienen per onmiddellijke ingang aan de eisen van de wet te voldoen. De werklast ligt in de gegevensverwerking die niet onder het bereik van de WPR vielen, doch wel onder dat van de WBP. Via de vrijstellingsregeling zal echter worden getracht zoveel mogelijk alle standaardverwerkingen van de melding vrij te stellen. Met betrekking tot de meldingsverplichting, bedoeld in artikel 27, is de mogelijk geschapen bij algemene maatregel van bestuur de termijn van een half jaar te verlengen tot drie jaren. Daarmee kan rekening worden gehouden met de behoefte in de praktijk een zekere overgangsfase te hebben ten einde de bestaande aanmeldingsformulieren en reglementen te kunnen aanpassen aan de nieuwe wetgeving alsmede met de werklast van de Registratiekamer in deze.
Voor de gevoelige gegevens geldt daarentegen ook voor de inhoudelijke normering een strikter regime dan onder de WPR. Het ligt daarom in de rede daarvoor de volle termijn die de richtlijn toelaat ook te benutten. Aldus wordt ook enige fasering in de aanpassing bewerkstelligd. De langere termijn geldt uitsluitend voor de benodigde aanpassing aan paragraaf 2 van hoofdstuk 2, waarin het striktere regime is opgenomen. Voor de aanpassing van de verwerking van bijzondere gegevens aan de overige bepalingen van het wetsvoorstel geldt gewoon de termijn van het eerste lid.
Wat betreft de gevoelige gegevens kan de vraag worden gesteld of een toestemming die gegeven is voor een gegevensverwerking voorafgaand aan de datum van inwerkingtreding, moet worden hernieuwd, of dat de indertijd gegeven toestemming, wanneer deze voldoet aan de vereisten, bedoeld in artikel 1, onderdeel i, en dus vrij, specifiek en op afdoende informatie berust, onder de nieuwe regeling gelding behoudt. Gelet op overweging 70 van de richtlijn, moet het laatste worden aangenomen. Deze overweging bepaalt expliciet dat verwerkingen die noodzakelijk zijn voor de uitvoering van op het moment van het van kracht worden van de implementatiewetgeving bestaande overeenkomsten die op basis van vrije en geïnformeerde toestemming zijn gesloten, vrijgesteld zijn van het vereiste van uitdrukkelijke toestemming voor het verwerken van gevoelige gegevens (De Engelse tekst spreekt van 'whereas it is not necessary for the data subject to give his consent again so as to allow the controller to continue to process....'). Zo blijft het mogelijk voor de verantwoordelijke gevoelige gegevens te verwerken indien dit nodig is voor de uitvoering van een overeenkomst, bijvoorbeeld een levensverzekeringsovereenkomst, die op basis van vrije en geïnformeerde toestemming is gesloten vóór de inwerkingtreding van dit wetsvoorstel.
[MvT, pagina 196-197]