Uitleg bij artikel 1 AVG
De Algemene Verordening Gegevensbescherming is een Verordening. Dat wil zeggen dat de regels die daarin staan in principe direct kunnen worden ingeroepen door burgers en organisaties. Dat geldt niet voor een aantal open bepalingen uit de Verordening - daaraan mogen de landen van de Europese Unie zelf invulling geven. Nederland doet dat in de zogenoemde Uitvoeringswet. De vorige regels uit de Europese Unie stonden in een Richtlijn, namelijk de Richtlijn bescherming persoonsgegevens uit 1995. Een Richtlijn, in tegenstelling tot een Verordening, moet door ieder land van de EU apart worden geïmplementeerd in nationale wetgeving. In Nederland gold daarvoor de Wet bescherming persoonsgegevens.
Artikel 1 lid 1 van de AVG benoemt de twee doelstelling van de Verordening. Enerzijds de bescherming van datasubjecten, anderzijds het mogelijk maken van de doorvoer van persoonsgegevens binnen de Europese Unie. Oorspronkelijk was de EU vooral gericht op de interne markt - het vrije verkeer van personen, diensten en goederen. Het vrije verkeer van data was dan ook de basis voor de Richtlijn bescherming persoonsgegevens. Het doel was om alle verschillende eisen en voorwaarden die de EU landen afzonderlijk hadden aangenomen weg te nemen, om zodoende een gelijk speelveld te creëren, zonder handels- of datadoorvoerbarrières. Tegelijkertijd moesten de belangen van degenen over wie gegevens worden verwerkt wel beschermd worden (overweging 3). De AVG handhaaft deze twee doeleinden van de Richtlijn, alhoewel de basis voor het aannemen van de AVG nu niet langer uitsluitend is gelegen in het vrije verkeer van data, maar ook in de bescherming van persoonsgegevens, artikel 16 TFEU (overweging 1 en 12).
Lid 2 zoomt in op één van de twee doelen, namelijk het beschermen van de belangen van individuen. Het gaat dan met name om hun recht op bescherming van persoonsgegevens, maar ook om andere rechten, zoals bijvoorbeeld het recht op privacy, zoals dat in het handvest is opgenomen (overweging 1).
Lid 3 zoomt in op de andere van de twee doelen, namelijk het vrije verkeer van persoonsgegevens. Lidstaten van de EU mogen geen verdere grenzen stellen aan de doorvoer van persoonsgegevens binnen de Europese Unie. Duitsland mag dus niet verbieden dat persoonsgegevens naar Italië worden doorgevoerd. De AVG stelt dat de doorvoer van data binnen de Europese Unie steeds belangrijker is geworden (overweging 5); die doorvoer moet dus mogelijk worden gemaakt, onder voorwaarde dat er een hoog beschermingsniveau geldt (overweging 6) binnen de EU dat goed gehandhaafd wordt (overweging 7). Harmonisering van de handhaving (overweging 11) en de regels binnen de EU is daarbij een belangrijk streven (overweging 8). Dit streven was ook in de Richtlijn neergelegd, maar is toen slechts ten dele bewerkstelligd (overweging 9). Een Verordening, in tegenstelling tot een Richtlijn, harmoniseert de regels op EU niveau; in de AVG zijn wel mogelijkheden voor lidstaten opgenomen om eigen regels aan te nemen ten aanzien van bijzondere persoonsgegevens en gegevensverwerking in specifieke sectoren (overweging 10).
Artikel 1 Onderwerp en doelstellingen
1.Bij deze verordening worden regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van persoonsgegevens.
2.Deze verordening beschermt de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens.
3.Het vrije verkeer van persoonsgegevens in de Unie wordt noch beperkt noch verboden om redenen die verband houden met de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens.
Overwegingen
1) De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie (het „Handvest”) en artikel 16, lid 1, van het Verdrag betreffende de werking van de Europese Unie (VWEU) heeft eenieder recht op bescherming van zijn persoonsgegevens.
(3) Richtlijn 95/46/EG van het Europees Parlement en de Raad heeft tot doel de bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met verwerkingsactiviteiten te harmoniseren en het vrije verkeer van persoonsgegevens binnen de Unie te waarborgen.
(5) Dankzij de interne markt is een niveau van economische en sociale integratie bereikt dat tot een aanzienlijke toename van de grensoverschrijdende stromen van persoonsgegevens heeft geleid. De uitwisseling van persoonsgegevens tussen publieke en particuliere actoren, waaronder natuurlijke personen, verenigingen en ondernemingen, is overal in de Unie toegenomen. Het Unierecht noopt de nationale autoriteiten in de lidstaten tot samenwerken en tot het uitwisselen van persoonsgegevens om hun opdrachten te vervullen of om taken uit te voeren namens een autoriteit in een andere lidstaat.
(6) Door snelle technologische ontwikkelingen en globalisering zijn nieuwe uitdagingen voor de bescherming van persoonsgegevens ontstaan. De mate waarin persoonsgegevens worden verzameld en gedeeld, is significant gestegen. Dankzij de technologie kunnen bedrijven en overheid bij het uitvoeren van hun activiteiten meer dan ooit tevoren gebruikmaken van persoonsgegevens. Natuurlijke personen maken hun persoonsgegevens steeds vaker wereldwijd bekend. Technologie heeft zowel de economie als het maatschappelijk leven ingrijpend veranderd en moet het vrije verkeer van persoonsgegevens binnen de Unie en de doorgifte aan derde landen en internationale organisaties verder vergemakkelijken en daarbij een hoge mate van bescherming van persoonsgegevens garanderen.
(7) Die ontwikkelingen vereisen een krachtig en coherenter kader voor gegevensbescherming in de Unie, dat wordt gesteund door strenge handhaving, omdat zulks van belang is voor het vertrouwen dat nodig is om de digitale economie zich in de hele interne markt te laten ontwikkelen. Natuurlijke personen dienen controle over hun eigen persoonsgegevens te hebben. Er dient meer rechtszekerheid en praktische zekerheid te worden geboden aan natuurlijke personen, marktdeelnemers en overheidsinstanties.
(8)Voor zover deze verordening bepaalt dat de regels die zij bevat door lidstatelijk recht kunnen worden gespecificeerd of beperkt, kunnen de lidstaten indien nodig elementen van deze verordening in hun recht opnemen om de samenhang te garanderen en om de nationale bepalingen begrijpbaar te maken voor degenen op wie zij van toepassing zijn.
(9) De doelstellingen en beginselen van Richtlijn 95/46/EG blijven overeind, maar de richtlijn heeft niet kunnen voorkomen dat gegevens in de Unie op gefragmenteerde wijze worden beschermd, dat er rechtsonzekerheid heerst of dat in brede lagen van de bevolking het beeld bestaat dat met name online-activiteiten aanzienlijke risico's voor de bescherming van natuurlijke personen inhouden. De lidstaten bieden op het vlak van verwerking van persoonsgegevens uiteenlopende niveaus van bescherming van de rechten en vrijheden van natuurlijke personen, met name de bescherming van persoonsgegevens, wat het het vrije verkeer van persoonsgegevens binnen de Unie in de weg kan staan. Die verschillen kunnen dan ook een belemmering vormen voor de uitoefening van economische activiteiten op Unieniveau, de mededinging verstoren en de overheid beletten de taak die zij uit hoofde van het Unierecht heeft, te vervullen. Die verschillende beschermingsniveaus zijn toe te schrijven aan de verschillen in de uitvoering en toepassing van Richtlijn 95/46/EG.
(10) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. Met het oog op de verwerking van persoonsgegevens voor het vervullen van een wettelijke verplichting, voor het vervullen van een taak van algemeen belang of bij de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, moet de lidstaten worden toegestaan nationale bepalingen te handhaven of in te voeren ter nadere precisering van de wijze waarop de regels van deze verordening moeten worden toegepast. In samenhang met de algemene en horizontale wetgeving inzake gegevensbescherming ter uitvoering van Richtlijn 95/46/EG beschikken de lidstaten over verscheidene sectorgebonden wetten op gebieden waar behoefte is aan meer specifieke bepalingen. Deze verordening biedt de lidstaten ook ruimte om eigen regels voor de toepassing vast te stellen, onder meer wat de verwerking van bijzondere persoonsgegevenscategorieën („gevoelige gegevens”) betreft. In zoverre staat deze verordening niet in de weg aan lidstatelijk recht waarin specifieke situaties op het gebied van gegevensverwerking nader worden omschreven, meer bepaald door nauwkeuriger te bepalen in welke gevallen verwerking van persoonsgegevens rechtmatig geschiedt.
(11) Doeltreffende bescherming van persoonsgegevens in de gehele Unie vereist de versterking en nadere omschrijving van de rechten van betrokkenen en van de verplichtingen van degenen die persoonsgegevens verwerken en van degenen die over die verwerking beslissen, alsmede gelijkwaardige bevoegdheden op het gebied van toezicht en handhaving van de regels inzake gegevensbescherming en vergelijkbare sancties voor overtredingen in de lidstaten.
(12) Artikel 16, lid 2, VWEU machtigt het Europees Parlement en de Raad om de regels vast te stellen betreffende de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens, alsmede de regels betreffende het vrije verkeer van die gegevens.