“Specifieke” wetgevingen voor gegevensbescherming aangenomen krachtens artikel 6.3 AVG: Belangrijkste punten bij hun opstelling

Deze blogpost is beschikbaar in het Nederlands, Frans en Engels. 

Naast de AVG en de nationale kaderwetten op het gebied van de bescherming van persoonsgegevens, stellen veel specifieke nationale wetgevingen eisen of regelen zij bepaalde gegevensverwerkingen door publieke en private entiteiten. Deze wetgevingen vormen de “rechtsgrond” voor verwerking in de zin van de AVG. Ondanks hun overvloed en de belangrijke bron van verplichtingen, rechten en informatie die ze vertegenwoordigen, is er weinig discussie over hoe ze opgesteld zouden moeten worden. Toch moeten deze wetgevingen aan strenge eisen voldoen. Het opstellen ervan is vaak een delicate afweging in tussen enerzijds het vrijwaren van de doelstellingen van de AVG en de rechtszekerheid en anderzijds de noodzaak om wetgevingen op te stellen die duurzaam en voldoende flexibel zijn. De kwaliteit van de formulering is doorslaggevend voor de latere uitvoering van de verwerkingen die erin zijn vastgelegd. 

Deze blogpost geeft een overzicht van de vereisten en beste praktijken op dit gebied. Het is gericht op overheidsinstanties en wetgevers die van plan zijn nieuwe gegevensverwerkingsactiviteiten door publieke of private entiteiten in te voeren, evenals praktijkmensen die meer willen weten over deze rechtsgronden en hoe ermee om te gaan. 

De ontwikkelingen die volgen zijn voornamelijk gegrond op de ervaring die is opgedaan bij het opstellen van Belgische wetgeving, maar de beginselen die worden uiteengezet zouden in de hele Unie op vergelijkbare wijze moeten worden toegepast, uiteraard met inachtneming van de specifieke kenmerken van elke lidstaat. 

1. Wanneer is een specifieke wetgeving vereist? 

Artikel 6 van de AVG geeft zes rechtsgronden voor de verwerking van persoonsgegevens. Voor de meeste van deze rechtsgronden is geen tussenkomst van de wetgever vereist, en dus ook geen wetgeving die de verwerking expliciet “rechtmatig” maakt in de zin van de AVG. 

Een private entiteit, or zelfs een publieke entiteit, is daarom vrij om toestemming te vragen aan de betrokkenen om hun gegevens te verwerken voor specifieke doeleinden (artikel 6.1.a van de AVG). 

Eveneens kan deze entiteit overeenkomsten sluiten en de uitvoering ervan inroepen om gegevens te verwerken, bijvoorbeeld arbeidsovereenkomsten die de verwerking van werknemersgegevens vereisen (artikel 6.1.b AVG). 

Er is ook een rechtsgrond beschikbaar wanneer de verwerking tot doel heeft de vitale belangen van een persoon te beschermen, die in de praktijk zelden wordt gebruikt (artikel 6.1.d AVG). 

Daarnaast staat het een particuliere onderneming vrij om haar “gerechtvaardigde belangen” te bepalen en, mits zij kan aantonen dat de risico’s voor de betrokken in balans zijn, persoonsgegevens te verwerken voor doeleinden die haar eigen belangen dienen (artikel 6.1.f AVG). In dat geval moet de betrokkene geïnformeerd worden, maar hoeft in principe geen voorafgaande goedkeuring te geven. 

In al deze gevallen is de wetgever niet verplicht om ex ante in te grijpen. 

In twee gevallen is de wetgever daarentegen wel verplicht om in te grijpen: 

• Hij wil een wettelijke verplichting opleggen aan de verwerkingsverantwoordelijke, ongeacht of het om private of publieke entiteiten gaat (artikel 6.1.c AVG). De wetgever wil bijvoorbeeld privéondernemingen verplichten om bepaalde informatie naar de belastingdienst te sturen. 

• Hij wil een entiteit (meestal een publieke, maar soms ook een private entiteit) belasten met een taak van algemeen belang of ter uitoefening van het openbaar gezag, waarvoor de verwerking van persoonsgegevens noodzakelijk is (artikel 6.1.e AVG).

Artikel 6.3 van de AVG bepaalt dat verwerkingen die bedoeld zijn om te worden gebaseerd op artikel 6.1.c of 6.1.e, duidelijk en nauwkeurig gedefinieerd moeten worden door nationaal (of Unie) recht (zie overweging 41). 

Het moet worden opgemerkt dat, voor overheidsorganen die hun taken uitvoeren, de rechtsgrond voor gerechtvaardigde belangen van artikel 6.1.f, in principe niet beschikbaar is (hoewel deze bepaling algemeen wordt beschouwd als uitsluitend betrekking hebbend op hun taken als publieke sectororganisatie, en niet voor enige bijkomende verwerkingsactiviteiten van persoonsgegevens die zij mogelijk uitvoeren). Bijgevolg zal een specifieke wetgeving vereist zijn, behalve in gevallen waarin het mogelijk is de verwerking te baseren op de toestemming, de uitvoering van een overeenkomst of een vitaal belang. 

In de praktijk is de verwerking door overheidsinstanties voornamelijk gebaseerd op een specifieke wetgeving. 

2. Inhoud van de specifieke wetgeving: “Essentiële elementen” die moeten worden gedefinieerd

Toen de AVG in 2018 van kracht werd, leidde de inhoud en nauwkeurigheid die dergelijke wetgevingen zouden moeten bevatten tot veel vragen. Veel verwerkingen werden (en worden nog steeds) uitgevoerd op basis van wetgevingen die dateren van vóór de invoering van de AVG. 

Vandaag de dag zijn de vereisten voor nauwkeurigheid en de criteria waaraan dergelijke specifieke wetgeving moeten voldoen, sterk verduidelijkt door de toezichthoudende autoriteiten en de bevoegde rechtbanken (Belgische Raad van State en Grondwettelijk Hof). 

Ten eerste stelt overweging 41 van de AVG dat een zekere mate van voorspelbaarheid vereist is en verwijst naar de rechtspraak van het Hof van Justitie van de Europese Unie (Hof van Justitie) en het Europees Hof voor de Rechten van de Mens, waaronder de uitgebreide rechtspraak over inmenging in de persoonlijke levenssfeer. 

Overweging 45 van de AVG nuanceert dit door te specificeren dat niet elke verwerking individueel gedefinieerd hoeft te worden. 

Uit de AVG volgt dus dat de doelstelling, of de ratio legis, van artikel 6.3 AVG is om ervoor te zorgen dat verwerkingen die in het algemeen belang worden uitgevoerd of door de wetgever wordt opgelegd, voldoende omkaderd zijn, zonder echter te vereisen dat deze verwerkingen tot in het kleinste detail worden beschreven (meer hierover verderop). 

De Belgische Gegevensbeschermingsautoriteit (“GBA”) en de Vlaamse Toezichtcommissie (“VTC”) hebben, in nauwe afstemming met de rechtspraak van de Belgische Grondwettelijk Hof en de Raad van State, in hun mededelingen, adviezen en beslissingen het standpunt ingenomen dat de volgende essentiële elementen moeten worden gespecificeerd in een wetgeving die de verwerking van persoonsgegevens beoogt toe te staan: 

- het/de nauwkeurig(e) en specifiek(e) doeleind(en) van de verwerking; 

Aandachtspunt: doeleinden en doelstellingen zijn twee verschillende dingen, die vaak – ten onrechte – worden verward. 

- de identiteit van de verwerkingsverantwoordelijke(n); 

Aandachtspunt: Dit vereist is niet altijd zo vanzelfsprekend als het lijkt. Gegevensbeschermingsautoriteiten eisen vaak dat de verwerkingsverantwoordelijken expliciet worden geïdentificeerd, terwijl de wetgever lijkt aan te nemen dat hun identiteit impliciet duidelijk is. Bovendien, hoewel de entiteit of entiteiten die onder voorgestelde wetgeving vallen algemeen bekend is/zijn, is het ook nodig om te bepalen voor welke doeleinden zij verantwoordelijk zijn (en a contrario, waar hun verantwoordelijkheden eindigen). 

Wetgevingen die upstream eenvoudigweg stellen dat een entiteit “de verwerkingsverantwoordelijke voor het platform” is, zonder verdere verduidelijking van welke exacte verwerkingsactiviteiten onder deze bepaling vallen, voorspellen moeilijkheden in de interpretatie downstream. 

- de (categorieën van) gegevens die noodzakelijk zijn om het/de beoogde doeleind(en) te bereiken; 

Aandachtspunt: Het kan moeilijk zijn om vooraf alle categorieën gegevens te voorzien die kunnen worden verzameld, ontvangen of gegenereerd. Het is noodzakelijk een formulering te vinden die alle gegevens dekt die kunnen worden verwerkt, zonder vaag te zijn of welke gegevens dan ook te omvatten. 

- De categorieën van betrokkenen wiens gegevens verwerkt zullen worden; 

Aandachtspunt: Enige kennis van het project is vereist om deze vraag goed te kunnen antwoorden. 

- de maximale bewaringstermijn van gegevens; 

Aandachtspunt: Deze eis kan bijzonder lastig blijken, vooral omdat de wetgeving niet bedoeld is om alle (sub)verwerkingen op te sommen die mogelijk noodzakelijk zullen zijn. De autoriteiten kunnen in sommige gevallen algemene of maximale bewaringstermijnen aanvaarden, of bewaringstermijnen die zijn vastgesteld op basis van objectieve criteria. 

- de (categorieën van) ontvangers aan wie de gegevens zullen worden verstrekt en de omstandigheden waarin dat zal gebeuren, samen met de redenen daarvoor; 

Aandachtspunt: De ontvangers kunnen niet alleen entiteiten zijn die rechtstreeks onder de voorgestelde wetgeving vallen, maar ook andere natuurlijke of rechtspersonen die de gegevens nodig hebben om bepaalde doeleinden te bereiken (specifieke onderaannemers, betrokken overheidsinstanties, enz.). 

Het kan ook nodig zijn rekening te houden met de wetgeving die al van toepassing is op deze entiteiten om de teksten te formuleren. 

Toekomstige protocollen voor gegevensuitwisseling tussen overheidsinstellingen zullen rechtstreeks naar deze bepalingen kunnen verwijzen. 

- indien van toepassing en voor zover noodzakelijk, de beperking van de verplichtingen en/of rechten waarnaar wordt verwezen in de artikelen 5, 12 tot en met 22 en 34 van de AVG. 

Aandachtspunt: Dergelijke beperkingen zullen uiteraard nauwkeuriger, en met aanzienlijke strengheid op hun noodzakelijkheid, worden onderzocht door de autoriteiten. Het is daarom van cruciaal belang om ervoor te zorgen dat er een behoefte en een expliciete rechtvaardiging is om ze in te voeren en om voldoende waarborgen te overwegen om te voldoen aan de evenredigheidseis van artikel 23 AVG. 

Naast deze essentiële elementen hebben de autoriteiten ook aandacht voor de technische en organisatorische maatregelen die in het ontwerp van de specifieke wetgeving of de voorbereidende werkzaamheden ervan zijn opgenomen, evenals op alle andere elementen die relevant zijn voor het verminderen van de risico’s voor betrokkenen en het beschermen van hun rechten. 

Meer fundamenteel zal de autoriteit onderzoeken of de gegevensverwerking niet alleen mogelijk nuttig is voor de nagestreefde doelstellingen van algemeen belang, maar ook daadwerkelijk noodzakelijk is om die doelstellingen te verwezenlijken (en dat er dus geen andere middelen beschikbaar zijn), en zal zij de evenredigheid van de inmenging in de rechten van de burgers beoordelen in verhouding tot het nagestreefde doelstelling. 

Om af te sluiten over de inhoud van de specifieke wetgeving, volstaat het volgens de gegevensbeschermingsautoriteiten niet om vage doelstellingen op te sommen en een paar voorbeelden van verwerkingen te noemen, maar moet er eerder een kader worden geboden voor toegestane verwerkingen en om uiteindelijk de verwerkingsverantwoordelijken die onder de wetgeving vallen, te begeleiden. 

Dit laatste aspect mag niet over het hoofd worden gezien. Te vage, overhaast opgestelde en aangenomen wetgevingen kunnen de werklast van de betrokken entiteiten en hun functionarissen voor gegevensbescherming aanzienlijk verhogen, of zelfs de uitvoering van bepaalde verwerkingen onmogelijk maken, en het risico inhouden dat de betrokkenen onvoldoende bescherming wordt geboden (met name door een gebrek aan rechtszekerheid). Bovendien heeft de GBA al inbreuken op de AVG vastgesteld met betrekking tot verwerkingen, ook al leek de specifieke wetgeving deze niet te verhinderen. 

Bovendien mogen de reden van bestaan voor deze essentiële elementen niet over het hoofd worden gezien. De opname ervan in de wetgeving is niet slechts een administratieve procedurele formaliteit. Ze vormen veeleer een waarborg die ervoor moet zorgen dat de betrokkenen redelijkerwijs kunnen bepalen welke verwerkingen kunnen worden ondernomen en hoe deze verwerkingen hen waarschijnlijk zullen beïnvloeden. Met dat in gedachten is een zekere mate flexibiliteit aanvaardbaar bij de afbakenen of beschrijving van deze essentiële elementen, maar alleen voor zover dit niet ten koste gaat van de rechtszekerheid waarop een burger recht heeft met betrekking tot zijn grondrecht op gegevensbescherming. 

In ieder geval besteden de gegevensbeschermingsautoriteiten in hun adviezen over wetsontwerpen steeds meer aandacht aan deze essentiële elementen en aan het effect dat de formulering van de wetgever heeft op de voorspelbaarheid en voorzienbaarheid van verwerkingen. 

3. Rechtszekerheid vs. flexibiliteit en efficiëntie 

Dit gezegde zijnde, is het niet de bedoeling de reikwijdte van de handelingen van de betrokken entiteiten, die een zekere mate van ruimte moeten krijgen om hun taken en verplichtingen te vervullen, onnodig te beperken. Deze entiteiten blijven verantwoordelijk voor de uitvoering van de verwerking die nodig is om de doeleinden te bereiken, evenals de gebruikte methoden. 

Het is duidelijk dat de AVG niet bedoeld was om de verwerkingsverantwoordelijken de volledige mogelijkheid te ontnemen om zelf te bepalen hoe ze persoonsgegevens verwerken. In een uitspraak uit 2022 wees het Hof van Justitie op de flexibiliteit die wordt geboden aan de verwerkingsverantwoordelijken, die – hoewel deze moet worden afgewogen tegen de rechten van de betrokkenen – “nodig is in de digitale wereld met de daaraan verbonden risico’s”. Met uitzondering van de beperkingen die door de nationale wetgever kunnen worden aangenomen op grond van artikel 23 van de AVG, blijven de AVG en al haar beginselen volledig van toepassing op de verwerkingsverantwoordelijken, zelfs wanneer zij hun verwerking baseren op artikel 6.1.c of .e. Deze vrijheid, en de keuzes en acties voor de verwerkingsverantwoordelijken die daaruit voortvloeien, gaan gepaard met het AVG-principe van verantwoordingsplicht en blijven onderworpen aan de controle van gegevensbeschermingsautoriteiten. 

Bijgevolg is het in het stadium van de opstelling van de wetgeving niet nodig om alle hypothetisch betrokken verwerkings- en sub-verwerkingsactiviteiten in detail te beschrijven. Dit zal in feite de rol zijn van de verwerkingsverantwoordelijken en, indien van toepassing, hun functionarissen voor gegevensbescherming. 

Het is eerder een kwestie van het definiëren van de doeleinden waarvoor de gegevens worden verwerkt, de denkbare methoden en de strikte grenzen van de beoogde verwerking, rekening houdend met de aard van de verwerkte gegevens en de risico’s voor de betrokkenen. Zodra de wetgeving op de juiste en behoorlijke wijze is aangenomen, mag de gegevensverwerking die redelijkerwijs binnen het toepassingsgebied van deze wetgeving valt, worden uitgevoerd om de beoogde doeleinden te bereiken, waarbij de belangrijkste vuistregel de mate is waarin een gemiddelde betrokkene de verwerkingsactiviteit had kunnen afleiden op basis van de formulering in de wetgeving. Dit onderzoek is de verantwoordelijkheid van de verwerkingsverantwoordelijke. De GBA heeft de gelegenheid gehad te verklaren dat voor een publieke autoriteit om een verwerking te baseren op een specifieke wetgeving die haar een taak in het algemeen belang toewijst, het redelijkerwijs afleidbaar moest zijn dat de voorziene verwerkingen onder die wetgeving en haar doeleinden viel.

En met een goede reden: in een context van voortdurende technologische verandering is het over het algemeen onwenselijk om een te rigide grens te stellen aan de mogelijkheden die openstaan voor verwerkingsverantwoordelijken. Zij moeten hun verwerkingen kunnen aanpassen om hun doelstellingen doeltreffend te verwezenlijken. In het bijzonder moeten de platforms en IT-oplossingen voor gegevensuitwisseling die door wetgevers zijn opgezet, bijvoorbeeld in het kader van inspanningen om de administratie te vereenvoudigen en één loket te creëren of om gezondheidsgegevens te centraliseren, kunnen evolueren – zonder echter te worden gebruikt voor andere doeleinden dan die welke door de wetgever zijn vastgelegd.

 Daarom kan worden gesteld dat de wetgevingen zoveel mogelijk technologie agnostisch moet blijven en de voor de verwerkingsverantwoordelijken enige manoeuvreerruimte moet laten. 

De voorbereidende werkzaamheden voor het wetsontwerp, zoals de toelichtingsmemorie en artikelsgewijze toelichtingen, spelen ook een belangrijke rol in het redactieproces en zullen de bepalingen helpen verduidelijken en voor de verwerkingsverantwoordelijken (en hun verwerkers) een leidraad bieden. 

Kortom, bij het opstellen van de specifieke wetgeving moet een redelijk evenwicht worden gevonden tussen rechtszekerheid en flexibiliteit, wat mogelijk is zolang de opsteller(s) voldoende inzicht hebben in het project, de implicaties en de technische aspecten ervan. 

4. In welke type wetgeving moeten de essentiële elementen worden opgenomen? 

Een andere vraag die rijst is die van de aard van het rechtsinstrument dat de essentiële elementen bevat. 

Deze vraag is niet onbelangrijk en houdt rechtstreeks verband met het hierboven genoemde evenwicht: een uitvoeringsbesluit is gemakkelijker te wijzigen dan een wetgevingsbesluit, dat een hogere hiërarchie heeft binnen het rechtssysteem. 

De GBA heft herhaaldelijk het standpunt ingenomen dat een “formele wet” over het algemeen vereist is om te voldoen aan artikel 6.3 van de AVG – met andere woorden, een verordening die door de wetgever is uitgevaardigd. De GBA baseert haar redenering in het bijzonder op artikel 22 van de Belgische Grondwet met betrekking tot het recht op privé- en familieleven, waarvan de inhoud ook in andere rechtsstelsels kan worden gevonden. 

De GBA aanvaardt echter dat, onder bepaalde voorwaarden, verwerkingen aanvankelijk in een formele wet kunnen worden vastgelegd en vervolgens nader worden gespecificeerd in een uitvoeringsbesluit – met andere woorden, een besluit van de uitvoerende macht. Overweging 41 van de AVG erkent deze mogelijkheid. De GBA heeft de gelegenheid gehad om aan te geven welke van de hierboven genoemde essentiële elementen eventueel in dergelijke handelingen kunnen worden vastgesteld. De mogelijkheid tot delegatie blijft echter beperkt, net als in het traditioneel Belgisch administratief recht. 

Deze wettelijke normen, uitgevaardigd door een parlement of een regering, moeten of kunnen worden onderworpen aan een advies van de beschermingsautoriteit voorafgaand hun aanneming, die zal onderzoeken of de essentiële elementen voldoende gedefinieerd lijken te zijn en vergezeld gaan van waarborgen die geschikt zijn om de risico’s voor de betrokkenen aan te pakken. Dit proces, waarvan de modaliteiten en de fasen worden bepaald door de autoriteit in overeenstemming met de wetgeving tot oprichting ervan, vindt, indien van toepassing, parallel plaats met de adviesprocedure voor de afdeling Wetgeving van de Belgische Raad van State. 

5. Is het nodig om een GEB uit te voeren tijdens het opstellen van de specifieke wetgeving? Hoe kan het ontwerpproces het beste worden voorbereid? 

Neem de tijd om een GEB uit te voeren, om achteraf veel tijd te besparen 

Een gegevensbeschermingseffectbeoordeling (GEB) moet worden uitgevoerd door de verwerkingsverantwoordelijke als de verwerking voldoet aan bepaalde voorwaarden in artikel 35 van de AVG. In principe mogen verwerkingen niet beginnen voordat de GEB is uitgevoerd en geconcludeerd is dat het risiconiveau voor betrokkenen aanvaardbaar is. 

Daarentegen is de wetgever in het stadium van het opstellen van de wetgeving niet verplicht om een dergelijke analyse uit te voeren. De AVG houdt echter expliciet rekening met deze mogelijkheid door te bepalen dat als de wetgever een GEB heeft uitgevoerd, de verwerkingsverantwoordelijke er niet opnieuw een hoeft uit te voeren (artikel 35.10 AVG). 

In werkelijkheid, hoewel het niet verplicht is om een effectbeoordeling uit te voeren in het stadium van het opstellen van de wetgeving, wordt het sterk aanbevolen om dit wel te doen wanneer de verwerkingsactiviteiten waarschijnlijk als gevoelig of bijzonder innovatief zouden worden beschouwd, of wanneer ze aanzienlijke risico’s voor de rechten en vrijheden van de betrokkenen zouden kunnen opleveren. 

Een GEB maakt het mogelijk om een overzicht te krijgen van de beoogde verwerkingen en de bijbehorende risico’s, de technische aspecten, de ontvangers van de gegevens, enz. Het zal dus van onschatbare waarde zijn voor degenen die de wetgeving opstellen. 

Aangezien het in de praktijk meestal de betrokken administraties zullen zijn die de specifieke wetgeving opstellen, kan de GEB door hen worden opgesteld, samen met eventuele andere betrokken verwerkingsverantwoordelijken. Soms zijn de toekomstige verwerkingsverantwoordelijken het best in staat om een GEB voor te stellen. De betrokkenheid van de verschillende functionarissen voor gegevensbescherming wordt aanbevolen. Voor sommige projecten wordt de hulp van advocatenkantoren ingeroepen. 

In deze eerste fase kunnen eventuele problemen met de grondbeginselen van het project worden opgespoord. De beginselen van gegevensminimalisering en van juistheid vereisen bijvoorbeeld dat de vermenigvuldiging van persoonsgegevens (databanken) wordt vermeden. In een land met verschillende overheidsniveaus, zoals België, zal er vaak bijzondere aandacht nodig zijn voor de afstemming van technologische oplossingen… 

Bovendien zal de autoriteit, tijdens het proces van het vragen van een advies aan de GBA, de opstellers vragen alle documenten in te dienen die relevant zijn voor het begrijpen van het project en de context ervan, en kan ze de auteur van de tekst om verduidelijking vragen. De GEB zal daarom een belangrijk document zijn ter ondersteuning van het project. 

Op een later tijdstip kan de GEB worden hergebruikt door de verwerkingsverantwoordelijken die onder de aangenomen wetgeving vallen, en indien nodig nog worden bijgewerkt. 

Natuurlijk is het niet altijd mogelijk om een volledige GEB uit te voeren in de fase van het opstellen van de wetgeving, die plaatsvindt lang voordat de verwerkingen in kwestie worden uitgevoerd. Dit doet niets af aan het nut ervan: een GEB is hoe dan ook een iteratief proces. 

Het opstellen van de specifieke wetgeving is vooral een samenwerkingsproces 

Of er nu wel of niet een GEB wordt uitgevoerd, in de praktijk zijn regelmatige uitwisselingen tussen de administraties die verantwoordelijk zijn voor het project, de politieke vertegenwoordigers van de betrokken overheid (en de wetgevende instantie) van onmisbaar belang. 

Over het algemeen mag het opstellen van een GEB niet los worden gezien van de private of publieke entiteiten die de verwerking daadwerkelijk zullen uitvoeren. 

Tijdens het hele proces is het ook belangrijk om ervoor te zorgen dat de ingevoerde mechanismen in overeenstemming zijn met het publiek- en administratief recht, dat bepaalde vereisten stelt die zich kunnen overlappen met die van de gegevensbescherming. 

Het redactieproces zal uiteindelijk resulteren in een ontwerp van een specifieke wetgeving, samen met het voorbereidende werk (inbegrepen de toelichtingsmemorie en artikelsgewijze toelichtingen en, waar nodig, een GEB), dat uiteindelijk door parlementsleden kan worden onderzocht. Zij staan onvermijdelijk vaak verder af van de concrete en technische aspecten van het project en zullen het project des te beter kunnen begrijpen als de doelstellingen en kwesties goed worden uiteengezet – zoals het geval is voor elk wetsontwerp. 

Conclusie 

Het opstellen van wetgevingen voor de verwerking van persoonsgegevens en de implementatie van volledig uitgeruste platforms en nieuwe technologische oplossingen is een complexe aangelegenheid. Als het goed wordt uitgevoerd, zal het een conforme, toekomstbestendige verwerking mogelijk maken. 

Aarzel niet om contact met ons op te nemen voor meer informatie, in het bijzonder als u betrokken bent bij een ontwerpproces of als een entiteit mogelijk betrokken is bij wettelijke normen in ontwikkeling. Timelex heft ondersteuning geboden bij tal van nationale (evenals van de Europese Unie en zelfs van derde landen) normatieve projecten waarbij publieke en private entiteiten betrokken waren, en voert regelmatig GEBs en audits uit voor dergelijke projecten.