In de Nederlandse uitvoeringswet bij de AVG is opgenomen dat de Autoriteit Persoonsgegevens rekening moet houden met de behoeften van kleine, middelgrote en micro-ondernemingen. Nadere analyse leert dat dit ontzettend veel ondernemingen zijn. Al die ondernemingen lijken zodoende een extra argument in procedures te hebben.
Even terug in de tijd: behandeling UAVG was haastklus
Een klein stapje terug in de tijd. De finale tekst van de AVG was op 4 mei 2016 gepubliceerd. Al even daarvoor werd duidelijk dat de AVG op 25 mei 2018 in werking zou treden.
Toch liet de daarbij horende uitvoeringswet wel even op zich wachten. De concepttekst van de UAVG kwam eerst op 14 december 2017 beschikbaar, dus iets meer dan 5 maanden voor de deadline. Diezelfde dag stuurde de minister een brief aan zowel de Tweede Kamer als de Eerste Kamer met het verzoek de behandeling voortvarend ter hand te nemen.
Twee maanden later kwam de regering met een nota van wijziging (zie ook onze eerdere blog). In de Tweede Kamer zijn daarnaast slechts 4 moties en 2 amendementen aangenomen.
De Eerste Kamer kreeg de wettekst op 14 maart 2018 aangeboden en concludeerde op 24 april 2018 dat de behandeling van het wetsvoorstel voldoende was voorbereid . Op 15 mei 2018 is het wetsvoorstel vervolgens als hamerstuk afgedaan. Een dag later al werd de wet ondertekend en gepubliceerd en werd de inwerkingtreding aangekondigd.
Beperkte inhoudelijke behandeling in Parlement
Het debat over de UAVG in het Parlement is - mede vanwege die haast - behoorlijk beperkt geweest. In feite is het inhoudelijke debat naar voren geschoven.
Zo werd in de overgenomen motie Koopmans o.m. opgeroepen tot een evaluatie na een half jaar en het - waar nodig - komen met aanvullende of bijgestelde regels over in ieder geval enkele specifiek genoemde onderwerpen. In de recente evaluatie staat in feite dat over alle meer 'spannende' onderwerpen nog nader overleg of nader uitzoekwerk is vereist. Voorlopig zijn er dus geen inhoudelijke wijzigingen te verwachten.
Amendement Van der Staaij heeft het wel gehaald
Opvallend is dat in al die haast, en al die pogingen het debat naar voren te schuiven, een amendement (wijziging) het wel gehaald heeft gehaald, namelijk amendement nr. 15 van Van der Staaij.
Het amendement is heel mooi in zijn eenvoud. Van der Staaij doet eigenlijk niets meer dan een optionele tekst uit de considerans van de AVG, maken tot een verplichtende tekst in de UAVG.
In de considerans van de AVG in randnummer 13 is namelijk het volgende te lezen:
Voorts worden de instellingen, organen en instanties van de Unie, en de lidstaten en hun toezichthoudende autoriteiten aangemoedigd om bij de toepassing van deze verordening de specifieke behoeften van de kleine, middelgrote en micro-ondernemingen in aanmerking te nemen. De definitie van het begrip kleine, middelgrote en micro-ondernemingen dient te worden overgenomen uit artikel 2 van de bijlage bij Aanbeveling 2003/361/EG van de Commissie.
Van der Staaij neemt deze tekst ter harte en maakt er een wetsartikel van en wel als volgt:
De Autoriteit persoonsgegevens neemt bij de toepassing van de verordening de specifieke behoeften van kleine, middelgrote en micro-ondernemingen als bedoeld in artikel 2 van de bijlage bij Aanbeveling 2003/361/EG van de Commissie van 6 mei 2003 betreffende de definitie van kleine, middelgrote en micro-ondernemingen (PbEU 2003 L124) in aanmerking.
Waar de AVG de instellingen "aanmoedigt" om de behoeften van kleine, middelgrote en micro-ondernemingen in aanmerking te nemen, schrijft de UAVG dit nu dus verplichtend voor aan de Autoriteit Persoonsgegevens (AP).
Van der Staaij benadrukt in zijn toelichting onder meer dat het amendement bedoeld is om administratieve lasten te voorkomen en dat zonder het amendement het risico groot is dat "organisaties en bedrijven met steeds verdergaande verplichtingen te maken hebben".
Het amendement is destijds unaniem aangenomen.
Wie zijn die kleine, middelgrote en micro-ondernemingen?
Dat roept natuurlijk de vraag op: wie heeft hier iets aan? Opmerkelijk genoeg is het simpele antwoord: heel veel ondernemers.
De definitie van de kleine, middelgrote en micro-ondernemingen ligt vast in een bijlage bij een Europees besluit. Het besluit is best genuanceerd, want er is helemaal uitgewerkt wat nu precies een werkzame persoon is en met welke andere (groeps)vennootschappen je allemaal rekening moet houden. Het gaat voor de blog wat ver om al die nuance rekening te houden.
In de kern komt het echter op het volgende neer:
| Werkzame personen | Jaaromzet of balanstotaal | |
|---|---|---|
| Middelgroot | < 250 werkzame personen | Jaaromzet < 50 mio Euro of jaarlijks balanstotaal < 43 mio Euro |
| Klein | < 50 werkzame personen | Jaaromzet of jaarlijks balanstotaal < 10 mio Euro |
| Micro | < 10 werkzame personen | Jaaromzet of jaarlijks balanstotaal < 2 mio Euro |
Hoeveel van die ondernemingen zijn er?
Wanneer ik vandaag cijfers opvraag bij het CBS over het aantal bedrijven en hun bedrijfsgrootte, dan levert dat de volgende cijfers op:
| Categorie | Aantal |
|---|---|
| Totaal aantal bedrijven: | 1.792.145 |
| Aantal bedrijven met 0-250 werkzame personen: | 1.788.915 |
| Aantal bedrijven met 0-50 werkzame personen | 1.777.165 |
| Aantal bedrijven met 1-10 werkzame personen | 1.724.485 |
Dat betekent dat er (slechts) (1.792.145 minus 1.788.915 =) 3.230 bedrijven zijn met meer dan 250 werkzame personen. De overige 1.788.915 bedrijven (!) vallen dus onder artikel 2a UAVG, tenzij hun omzet hoger is dan de daarvoor geldende drempels.
Of de definitie van "werkzame persoon" bij het CBS helemaal gelijk is aan die van het Europees besluit, heb ik niet uitgezocht en laat ik even in het midden. Mogelijk dat dit nog tot een kleine verschuiving in de aantallen leidt. Aan het principe zou dat echter niets af doen.
Wat hebben die ondernemers hier nu aan?
Gelet op de wettekst moet de Autoriteit Persoonsgegevens (AP) bij het toepassen van de AVG dus de de "specifieke behoeften" in aanmerking nemen van die bijna 1,8 miljoen ondernemers met minder dan 250 werkzame personen.
Wat dat precies betekent zal zich in de praktijk moeten uitwijzen. Naar mijn verwachting betekent het in ieder geval dat de AP extra nadrukkelijk zal motiveren waarom zij een bepaalde beslissing met gevolgen voor een onderneming neemt, gelet op de specifieke behoeften van die onderneming.
Ik denk dan in eerste instantie aan beslissingen om handhavend op te treden jegens een bepaalde onderneming. Het lijkt er op dat de AP bij handhaving jegens de hooguit middelgrote ondernemingen extra goed zal motiveren waarom er, ondanks de (relatief) kleine omvang van de onderneming, toch handhavend wordt opgetreden. Het doel van het amendement was immers om administratieve lasten voor die ondernemingen te beperken. Motiveert de AP het besluit op dat punt niet goed, dan zou het alleen daarom al 'onderuit kunnen gaan'.
Sterker nog, het argument "waarom pak je de grotere jongens niet aan die min of meer hetzelfde doen?" zou daarmee maar zo eens relevant kunnen worden in het privacyrecht. In het privacyrecht staat het immers in de wet. Dit terwijl dit beroep op gelijkheid en anti-willekeur in de regel in het bestuursrecht niet opgaat.
De regel zou ook gevolgen kunnen hebben voor besluiten van meer algemene strekking van de Autoriteit Persoonsgegevens. Bij bijvoorbeeld de goedkeuring van een gedragscode die alleen op kleine ondernemingen van toepassing zal zijn, ligt het dan voor de hand om minder streng te zijn dan bij gedragscodes die ook voor multinationals zouden kunnen gelden. Of denk aan het goedkeuren van de verwerking van strafrechtelijke gegevens van bijvoorbeeld winkeldieven door (een vereniging van) allemaal relatief kleine ondernemingen. Houdt de AP daarbij onvoldoende rekening met de specifieke belangen, dan is dat vermoedelijk ook bij dergelijke besluiten een zelfstandige grond om daartegen in beroep te gaan.
Overigens laat dit alles natuurlijk onverlet dat op grond van o.m. de Algemene wet bestuursrecht, de algemene beginselen van behoorlijk bestuur, het Handvest van de EU en de in het Unierecht aanvaarde rechtsbeginselen (als het evenredigheidsbeginsel en transparantie van bestuur) de AP hoe dan goed zal moeten motiveren waarom ze handhavend optreedt en waarom haar handhaving proportioneel is, gelet op (de ernst van) de geschonden norm.
Resumé: check of de AP wel rekening houdt met uw bedrijfsomvang
Kort en goed: het loont de moeite om na te gaan of de AP wel (voldoende) rekening houdt met uw bedrijfsomvang en de daaruit voortvloeiende specifieke behoeften. Ontvangt u een brief of besluit van de AP, of staan ze opeens bij u voor de deur, controleer dan hierop.
Neem bij vragen hierover gerust contact op.
