Journalisten en de AVG: een praktische handleiding

JOURNALISTIEKE PLICHTEN (EN VRIJSTELLINGEN)

BIJ DE VERWERKING VAN PERSOONSGEGEVENS

Sinds 25 mei 2018 is de Europese Algemene Verordening Gegevensbescherming (AVG) [1] van toepassing, en op 19 juli keurde de Kamer van volksvertegenwoordigers de Belgische uitvoeringswet goed. Die laatste is voor journalisten van essentieel belang, omdat ze hun vrijstellingen regelt op de vele AVG-verplichtingen. Hier een praktisch vademecum met de verplichtingen die journalisten nog altijd hebben bij de verwerking van persoonsgegevens – en die waarvan ze zijn vrijgesteld.

Pol Deltour VVJ-AVBB 11 september 2018

SITUERING

De AVG en zijn Belgische uitvoeringswet zijn vanzelfsprekend niet de eerste of de enige wettelijke bepalingen waarmee journalisten rekening moeten houden. Een hele reeks juridische normen, vaak ook gepreciseerd door rechterlijke uitspraken, zijn op hun werk van toepassing. Zo is de publicatie van sommige informatie strafrechtelijk verboden, onder meer sommige privacygevoelige informatie. [2] Journalisten zijn ook onderworpen aan de algemene burgerlijke aansprakelijkheidsregeling voor elke fout die schade veroorzaakt. [3] Ook het wettelijk geregelde recht tot antwoord [4] waarover elke burger beschikt, corrigeert de bewegingsruimte van de pers. Daarbovenop regelen beroepsethische normen, de Code van de Raad voor de Journalistiek (www.rvdj.be) voorop, het doen en laten van een journalist. De Code omvat een reeks rechten en vrijheden, maar ook verantwoordelijkheden en plichten. Grosse modo gaat het om vier thema’s: onafhankelijkheid, waarheidsgetrouwheid, respect voor privacy en fair play. Voor wat volgt zijn deze bepalingen van groot belang. De wet koppelt aan de AVG-verplichtingen immers aanzienlijke vrijstellingen voor journalisten, precies op voorwaarde dat ze zich onderwerpen aan de sectorale deontologische normen. De Code van de Raad voor de Journalistiek bevat onder meer een reeks plichten inzake privacy [5]. Zo “respecteert de journalist het privéleven van personen en tast het niet verder aan dan noodzakelijk in het maatschappelijk belang van de informatie”. [6] Daarbij gaat de journalist “in het bijzonder omzichtig om met mensen in een maatschappelijk kwetsbare situatie, zoals minderjarigen, slachtoffers van criminaliteit, rampen en ongevallen, en hun familie”. Ook relevant voor wat volgt is de plicht om correcte informatie te publiceren [7], wat nu eenmaal ook een vorm van ‘gegevensverwerking’ is. Verder behoort een journalist informatie loyaal en eerlijk te verzamelen [8]. Belangrijk zijn verder diverse Richtlijnen die de Raad voor de Journalistiek aan de Code heeft toegevoegd, zoals een over de omgang met minderjarigen, een over het gebruik van informatie en beeldmateriaal op persoonlijke website en sociale media, een over het hergebruik van archiefinformatie, een over identificatie in een gerechtelijke context, en een over berichtgeving inzake zelfdoding en intieme, familiale en rouwplechtigheden.

VOOR WIE ?

De Europese AVG en haar Belgische uitvoeringswet voegen aan dat alles enkele nieuwe voorschriften toe. In eerste instantie zijn ze gericht op iedereen (niet enkel journalisten) die persoonsgegevens verwerkt op een professionele manier: hij of zij moet zich aan een reeks specifieke privacyverplichtingen houden. Tegelijk somt de wet een reeks concrete rechten op voor de personen van wie de gegevens worden verwerkt. Deze ‘betrokkenen’ beschikken met name over rechten van informatie, inzage, verbetering, wissing, beperking, overdraagbaarheid en bezwaar. Het gaat om persoonsgegevens [9], dit zijn gegevens van natuurlijke personen (mensen). Rechtspersonen (zoals bedrijven of vzw’s) worden niet beschermd. Ook gegevens van overleden personen vallen buiten het toepassingsgebied. Het kan gaan om gegevens die zowel direct als indirect identificatie toelaten: een naam, een beeld (foto of video), een IP-adres of andere locatiegegevens, maar ook fysieke of psychische gegevens, genetische of culturele elementen, economische of sociale eigenschappen… Louter anonieme of geanonimiseerde gegevens worden niet bedoeld, althans op voorwaarde dat de anonimisering onomkeerbaar is en latere identificatie via een ontsleuteling dus niet opnieuw mogelijk wordt. Het begrip ‘verwerking’ [10] slaat zowel op een handmatige verwerking (de klassieke fichebak, documentatiemap en archiefkast) als een geautomatiseerde verwerking. De AVG vult het begrip zeer ruim in: ‘verwerking’ omvat het verzamelen, vastleggen, ordenen, structureren, opslaan, wijzigen, bijwerken, opvragen, raadplegen, gebruiken, doorzenden, verspreiden, combineren, afschermen, wissen of vernietigen van persoonsgegevens. Het moet wel om een professionele verwerking gaan. Louter privaat gebruik van persoonsgegevens valt buiten het toepassingsgebied. [11] Het weze duidelijk: professionele journalistiek valt wel degelijk onder deze definities, en dus is de AVG in principe van toepassing op het werk van journalisten en redacties.

Vrijstellingen voor journalisten

In principe toch. Want voor journalistieke gegevensverwerkingen zijn er belangrijke vrijstellingen op de AVG-verplichtingen. [12] [13] Die vrijstellingen zijn voor journalisten des te belangrijk nu het niet enkel over de eigenlijke publicatie of uitzending van hun bijdragen gaat, maar ook over al het werk dat daaraan voorafgaat: het verzamelen en opzoeken van informatie, het checken en screenen ervan, het verwerken ervan tot een bericht of beeld. Ook het bijhouden en archiveren van verzamelde of verspreide informatie zijn aan de orde. De eerste vraag is dan hoe de wetgever ‘journalistiek’ definieert. De AVG zelf zegt hierover dat het begrip ‘ruim’ moet worden opgevat. [14] Volgens de Belgische wet moet het gaan om “de voorbereiding, het verzamelen, opstellen, voortbrengen, verspreiden of archiveren ten behoeve van het informeren van het publiek, met behulp van elke media en waarbij de verwerkingsverantwoordelijke zich de naleving van journalistieke deontologische regels tot taak stelt”. [15] [16] Hoe dan ook kunnen journalisten er zeker van zijn dat ze de vrijstellingen op de AVG genieten van zodra ze de Code van de Raad voor de Journalistiek erkennen (en aan Franstalige kant de Code de Déontologie Journalistique) [17]. Dat is alvast voor alle VVJ-leden het geval.

Mogelijke situaties

Mediabedrijven, maar ook talloze freelancejournalisten, voeren grosso modo twee soorten activiteiten uit: commerciële en journalistieke. Onder de eerste soort vallen het aanleggen, bijhouden en verwerken van gegevens van klanten, abonnees, lezers, kijkers, luisteraars, surfers en andere consumenten. Als werk- en opdrachtgever houden ondernemingen bovendien persoonsgegevens bij van werknemers, stagiairs en medewerkers. Al deze gegevensverwerkingen vallen niet onder de journalistieke vrijstellingen op de AVG. Enkel zuiver journalistieke activiteiten doen dat. Journalistieke gegevensverwerking gebeurt op twee niveaus: op de redactie en door elke individuele journalist. Doorgaans beschikt die laatste over eigen gegevensbestanden, los van het gemeenschappelijke databestand van de redactie waarvoor hij/zij werkt. Naast de redactie als geheel, moet ook een individuele professionele journalist rekening houden met de verplichtingen die voortvloeien uit de AVG. Om het even daarbij is of het om een werknemer dan wel een zelfstandige medewerker gaat. Weliswaar wegen de plichten voor een individuele journalist minder zwaar dan die voor een redactie (zie verder). Niet vergeten tot slot dat journalisten zelf ook worden opgenomen in talloze databanken. Als werknemer of zelfstandige ben je geregistreerd in de personeels- of medewerkersbestanden van het mediabedrijf waarvoor je werkt. Als erkend beroepsjournalist of VVJ-lid word je opgenomen in de databanken van respectievelijk de Erkenningscommissie en de VVJ. Onvermijdelijk zit je ook in de contactlijsten van uitgevers, organisaties, personaliteiten, persdiensten en woordvoerders. In die diverse hoedanigheden kun je zoals elke persoon aanspraak maken op bescherming van je persoonsgegevens, in de vorm van de rechten die de AVG opsomt: een recht op informatie, een recht op inzage en kopie, een recht op rechtzetting, een recht op wissing en dies meer.

VERANTWOORDELIJKE ACTOREN

Voor elke verwerking van persoonsgegevens die onder de AVG valt (en journalistiek hoort daar in principe dus bij), moeten een of meer verwerkingsverantwoordelijken en de verwerkers worden aangeduid. [18]

Verwerkingsverantwoordelijke(n)

De verwerkingsverantwoordelijke kan zowel een natuurlijke persoon (mens) als een rechtspersoon (bedrijf, vzw…) zijn. Voor redactionele databestanden zal dit in principe het mediabedrijf zijn. Voor individuele journalistieke databanken gaat het per definitie om de betrokken journalist zelf. De verwerkingsverantwoordelijke bepaalt het doel van en de middelen voor de gegevensverwerking. Hij/zij zorgt ervoor dat de verwerkingen conform de AVG verlopen, en werkt in dat kader onder meer een gegevensbeschermingsbeleid uit (zie verder). Voor redactionele databanken kunnen eventueel twee of meer verwerkingsverantwoordelijken worden aangeduid. [19] Zo kan het mediabedrijf verantwoordelijk zijn voor de technisch-logistieke omkadering, de hoofdredactie voor het algemeen-inhoudelijke beleid en de chef documentatie voor het dagelijkse beheer. Ieders verantwoordelijkheid moet duidelijk worden afgelijnd. Zo kan één van de verwerkingsverantwoordelijken ook fungeren als contactpersoon voor de buitenwereld. Belangrijk is dat deze schikkingen beschikbaar zijn voor de buitenwereld, zodat die gepast vragen kan stellen of verzoeken kan indienen.

Verwerker(s)

Ook de verwerkers moeten worden opgelijst. Ook dit kan zowel een natuurlijke als een rechtspersoon zijn. Het kan gaan om eigen personeel, maar even goed om externe medewerkers. Denk aan een ICT-dienstverlener, of vooral voor zelfstandigen: een boekhouder. Voor redactionele gegevensbanken kan het gaan om alle journalisten en andere redactiemedewerkers. Voor een individuele journalistieke gegevensbank zal de verwerker veelal ook de verwerkingsverantwoordelijke zijn. De verwerkingsverantwoordelijke moet met zijn verwerkers afspraken maken over het opzet, de inhoud en bijzondere voorwaarden van de verwerkingsactiviteiten [20]. Dat kan gebeuren in een specifieke verwerkersovereenkomst, de arbeidsovereenkomst (of een bijlage daarbij), een cao of het arbeidsreglement. Een verwerker verwerkt namens de verwerkingsverantwoordelijke de persoonsgegevens conform diens richtlijnen.

Een functionaris voor gegevensbescherming ?

De AVG verplicht sommige ondernemingen om ook nog een functionaris voor gegevensbescherming [21] aan te stellen [22]. Dit geldt, behalve voor overheden, met name voor entiteiten die aan ‘regelmatige en systematische observatie’ doen, en entiteiten die op grootschalige wijze gevoelige en strafrechtelijke persoonsgegevens verwerken. Wellicht vallen mediabedrijven als onderneming onder deze omschrijving – reden waarom alvast de grotere Belgische mediahuizen een dpo in dienst hebben. Individuele journalistieke databanken daarentegen zijn logischerwijze vrijgesteld van deze verplichting. [23]

ALGEMENE PRINCIPES

De grote principes uit de AVG gelden ook voor journalisten en redacties. Elke verwerking van persoonsgegevens moet aan de volgende beginselen voldoen: [24]

ze moet “rechtmatig, behoorlijk en transparant” zijn – over de eis van ‘rechtmatigheid’: zie hierna;
gegevens mogen enkel “voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld”;
de verzamelde gegevens moeten “ter zake dienend” zijn en “beperkt tot wat noodzakelijk is voor de doeleinden”;
de gegevens moeten “juist” zijn en “zo nodig worden geactualiseerd”;
ze moeten worden “bewaard in een vorm die het mogelijk maakt betrokkenen niet langer te identificeren dan nodig voor de doeleinden”. Een langere opslag is mogelijk in functie van archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden;
tot slot moet een “passende beveiliging” worden gewaarborgd.

Toestemming (in principe) niet vereist

Zoals hoger (onder a) aangestipt, moet een verwerking onder meer “rechtmatig” zijn. Voor journalistiek zijn de meest relevante rechtsgronden: [25]

men gaf zijn specifieke toestemming voor de verwerking, of deze is gebaseerd op een overeenkomst;
de verwerking dient “de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde”. [26]

Essentieel is dat journalistiek als een ‘gerechtvaardigd belang’ wordt gezien, dat op zich volstaat voor de verwerking van persoonsgegevens. Met andere woorden: toestemming van een betrokkene – de eerste mogelijke rechtsgrond voor dataverwerking – is niét absoluut vereist voor journalistieke informatiegaring of –verspreiding. De Memorie van Toelichting bij de Belgische wet zegt het zo: “De gerechtvaardigde belangen van de verwerkingsverantwoordelijke worden [bij journalistiek] gevormd door het recht op vrije meningsuiting, opgenomen in artikel 10 van het Europees Verdrag inzake de Rechten van de Mens en de artikelen 19 en 25 van de Grondwet. Deze rechtsgrondslag staat de verwerkingsverantwoordelijke voor journalistieke, academische of literaire doeleinden toe om de gegevens van een betrokken persoon te verwerken los van diens toestemming. De journalist kan ‘under cover’ onderzoeken voeren of de verwerking verder zetten zelfs indien de betrokken persoon zijn oorspronkelijke toestemming intrekt.” Toch een belangrijk voorbehoud nog. De wet erkent de vrijheden van meningsuiting en journalistiek dan wel als voldoende ‘gerechtvaardigde belang’ en dus rechtsgrond voor de verwerking van persoonsgegevens, toch zal dat niet het geval zijn wanneer dit minder zwaar weegt dan “de belangen of de fundamentele rechten van de betrokkene, in het bijzonder wanneer dat een kind is”. Anders gezegd: soms zal het toch zaak zijn om de toestemming te krijgen vooraleer je iemand citeert of een beeldopname van hem/haar maakt, zeker als het om kinderen gaat. De AVG noch de Belgische uitvoeringswet werkt dit verder uit. Maar gelet op de definitie van journalistiek in de Belgische uitvoeringswet, kan ter zake perfect worden verwezen naar de toepasselijke regels in de Code van de Raad voor de Journalistiek (www.rvdj.be). Zo vaardigde de Raad volgende relevante richtlijnen uit: - Richtlijn over de omgang van de pers met minderjarigen, die voor diverse journalistieke activiteiten toestemming van de minderjarige zelf of een voogd vereist; - Richtlijn over identificatie in een gerechtelijke context, die identificatie in sommige gevallen onder meer afhankelijk maakt van de toestemming van de betrokkene; - Richtlijn over de berichtgeving over zelfdoding en intieme, familiale of rouwplechtigheden, die de journalist eveneens verplicht rekening te houden met de wens van de betrokkenen. - Richtlijn over het gebruik van informatie en beeldmateriaal van persoonlijke websites en sociale netwerksites; - Richtlijn over digitale archieven en het hergebruik van archiefinformatie; Communicatie De AVG bepaalt ook enkele algemene principes met betrekking tot de communicatie aan personen van wie gegevens worden bijgehouden of verwerkt. [27] Zo moeten ook journalisten “beknopt”, “transparant”, “begrijpelijk”, “toegankelijk” en “in duidelijke en eenvoudige taal” communiceren over de rechten die betrokkenen tegenover hen hebben. Of die ze – wat voor journalisten relevanter is – niét hebben tegenover hen (zie verder). Diezelfde communicatieregels gelden bijvoorbeeld ook wanneer een redactie of journalist een informatielek moet melden aan personen die in hun databank zijn opgenomen (zie hierna).

PRAKTISCHE VERPLICHTINGEN

De verwerkingsverantwoordelijke moet “passende technische en organisatorische maatregelen” treffen om de gegevensverwerking in overeenstemming met de AVG te brengen. [28] Zo moet de gegevensverwerking ‘minimaal’ zijn, wat inhoudt dat ze enkel gebeurt voor zover nodig is voor het beoogde doel (zie hoger, AVG-principe c). In de praktijk zal deze verplichting voor journalisten een beperkte draagwijdte hebben. Journalisten worden juist verondersteld zich zo veel mogelijk te informeren, ook al levert dat niet meteen resultaat op. Ook in functie van de verificatie van hun informatie zal juist een ‘maximale’ gegevensverwerking zich opdringen. De gegevensverwerking moet ook minimaal zijn in de zin van beperkt tot de tijd die nodig is voor het beoogde doel (hoger, AVG-beginsel e). Maar ook deze verplichting moet wat journalistiek betreft goed worden begrepen. Een van de kerntaken van journalistiek is precies om nieuwsfeiten van gepaste duiding te voorzien, en daar behoort ook het geven van goede historische context bij. Essentieel is verder een ‘passende beveiliging’ (hoger, AVG-principe f).

Safety first

De verwerkingsverantwoordelijke zorgt voor een “passend gegevensbeschermingsbeleid”. [29] Samen met de verwerker(s) neemt hij “passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen”. [30] Dit moet gebeuren op twee niveaus: bij het ontwerpen van de gegevensverwerking (bijvoorbeeld door gepaste standaardinstellingen te programmeren) en bij de concrete verwerkingen zelf. Concreet gaat het bijvoorbeeld om de fysieke beveiliging van de redactieruimten, een toegangsbeleid voor nieuw en vertrekkend personeel, een paswoordenbeleid, het installeren van antivirus- en antispyprogramma’s, een noodprogramma ingeval van datalekken. In de mate van het mogelijke kan het gaan om de pseudonimisering of versleuteling van persoonsgegevens. [31] De veiligheidsmaatregelen moeten regelmatig worden getest en geëvalueerd. [32] Bij een fysiek of technisch incident moet de toegang tot de persoonsgegevens tijdig worden hersteld. [33] Bij een ‘inbreuk in verband met persoonsgegevens’ – lees: een informatielek – dat een ‘waarschijnlijk risico’ inhoudt voor personen, meldt de verwerkingsverantwoordelijke dit binnen een ‘redelijke’ termijn en (indien mogelijk) uiterlijk 72 uur na de vaststelling aan de Gegevensbeschermingsautoriteit. [34] Belangrijk voor redactieverantwoordelijken en journalisten: zij moeten dit niét doen wanneer deze melding “een voorgenomen publicatie in het gedrang kan brengen of een controlemaatregel zou uitmaken voorafgaand aan de publicatie van een artikel”. [35] Bij een informatielek dat een ‘hoog risico’ kan inhouden voor de rechten en vrijheden van personen, meldt de verwerkingsverantwoordelijke dit ‘onverwijld’ aan de betrokkene zelf. [36] Deze melding is niet vereist wanneer ze onevenredige inspanningen zou vergen (ze kan dan worden vervangen door een openbare mededeling) of wanneer de verwerkingsverantwoordelijke achteraf de nodige beschermingsmaatregelen heeft genomen (deze vrijstellingen gelden voor alle databankhouders, niet enkel journalisten). Bij de invoering van een nieuwe verwerkingstechnologie, die ‘waarschijnlijk’ een ‘hoog risico’ inhoudt voor de rechten en vrijheden van personen, moet de verwerkingsverantwoordelijke vooraf een risicoanalyse uitvoeren van het effect van de beoogde verwerking op de veiligheid van de persoonsgegevens: een gegevensbeschermingseffectbeoordeling (geb). [37] Bedoeld worden onder meer (grootschalige) verwerkingen van gevoelige en strafrechtelijke persoonsgegevens. Het is onduidelijk of en in hoeverre nieuwtechnologische journalistieke dataverwerkingen onder deze bepaling zullen vallen, maar we gaan ervan uit dat dit niet het geval zal zijn. [38] Blijkt uit de geb effectief dat er een ‘hoog risico’ is voor personen, dan moet de verwerkingsverantwoordelijke de Gegevensbeschermingsautoriteit raadplegen. [39] Belangrijk voor redacties en journalisten: zij moeten dit hoe dan ook niét doen wanneer dit “een voorgenomen publicatie in het gedrang kan brengen of een controlemaatregel zou uitmaken voorafgaand aan de publicatie van een artikel”. [40]

Register van de verwerkingsactiviteiten

Elke verwerkingsverantwoordelijke en elke verwerker moeten een register van hun verwerkingsactiviteiten bijhouden. [41] Ook redacties en journalisten moeten zich hieraan houden. Het register van de verwerkingsverantwoordelijke moet bevatten:

de naam en contactgegevens van de verwerkingsverantwoordelijke(n), hun eventuele vertegenwoordiger en de eventuele dpo;
de verwerkingsdoeleinden;
de categorieën van betrokkenen en bijgehouden persoonsgegevens;
de categorieën van mogelijke ontvangers van de gegevens;
indien mogelijk: de beoogde termijnen om gegevens te wissen;
indien mogelijk: een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen;
indien van toepassing: internationale doorgiften van persoonsgegevens.

Ook verwerkers [42] moeten een register van hun verwerkingsactiviteiten bijhouden. Dit moet omvatten:

de naam en contactgegevens van de verwerker(s) en van de verwerkingsverantwoordelijke(n) voor wie men werkt;
de categorieën van uitgevoerde verwerkingen;
indien mogelijk: een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen;
indien van toepassing: internationale doorgiften van persoonsgegevens.

Het register moet in elektronische vorm worden opgesteld. Maar los van de verplichte inhoudelijke vermeldingen, zijn er geen verdere vormvoorschriften. Aan het eind van dit document vindt men meer praktische informatie over het register. Verwerkingsverantwoordelijke en verwerker moeten bovendien hun register ter beschikking houden van de Gegevensbeschermingsautoriteit, en het kunnen voorleggen wanneer die erom vraagt. [43] Maar hier geldt voor redacties en journalisten een belangrijk voorbehoud: zij moeten dit niét doen wanneer dit “een voorgenomen publicatie in het gedrang kan brengen of een controlemaatregel zou uitmaken voorafgaand aan de publicatie van een artikel”. [44]

Verplichte medewerking met de GBA

In het algemeen moeten verwerkingsverantwoordelijken en verwerkers met de Gegevensbeschermingsautoriteit samenwerken wanneer die daarom vraagt. [45] Maar ook hiervan zijn redacties en journalisten vrijgesteld wanneer dit “een voorgenomen publicatie in het gedrang kan brengen of een controlemaatregel zou uitmaken voorafgaand aan de publicatie van een artikel”. [46]

Naar een sectorale gedragscode?

De AVG heeft het nog over de mogelijkheid om per maatschappelijke sector een gedragscode op te stellen, die door de Gegevensbeschermingsautoriteit kan worden goedgekeurd. [47] Gelet op de specifieke positie die journalistiek in het raamwerk van de AVG inneemt, zal de AVBB deze mogelijkheid bekijken. [48]

Internationale doorgifte

Binnen de Europese Unie kunnen persoonsgegevens vrij circuleren. Voor doorgifte aan landen buiten de EU of aan internationale organisaties moet een verwerkingsverantwoordelijke nagaan of deze “passende waarborgen” bieden voor de bescherming van persoonsgegevens. Het moet gaan om een bescherming van het niveau dat de AVG zelf biedt. [49] De AVG werkt ter zake een reeks specifieke voorwaarden en procedures uit. Belangrijk voor journalisten en redacties is dat deze verplichting voor hen niét geldt “in de mate dat het nodig is om het recht op bescherming van persoonsgegevens in overeenstemming te brengen met de vrijheid van meningsuiting en van informatie”. [50] Een nogal sibillijnse bepaling, die journalisten weliswaar ruim kunnen inroepen om vlot internationaal te blijven samenwerken met buitenlandse collega’s ook buiten de EU.

RECHTEN VAN BETROKKEN PERSONEN EN RESPONSPLICHTEN VOOR JOURNALISTEN

De AVG regelt, naast een reeks praktisch-administratieve basisverplichtingen voor gegevensverwerkers, ook een serie rechten voor betrokkenen [51], die gelijk weer responsplichten creëren voor verwerkingsverantwoordelijken en verwerkers. Essentieel voor journalisten en redacties is dat zij door de Belgische wetgever expliciet en systematisch zijn vrijgesteld hiervan. [52] Deze vrijstellingen zijn bovendien onvoorwaardelijk. Op die manier kunnen journalisten in België vrij en onafhankelijk hun werk van informatiegaring en –verspreiding verder zetten, zonder ongepast te worden gehinderd door personen over wie ze berichten. Dit zijn de vrijstellingen in kwestie:

Journalisten zijn niet onderworpen aan de voorwaarde om toestemming te verkrijgen voor een gegevensverwerking (zie hoger) [53];
Journalisten kunnen – tegen het algemene verbod in – ‘bijzondere’ persoonsgegevens verwerken, met name: ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, het lidmaatschap van een vakbond, genetische of biometrische gegevens, gegevens over gezondheid, gegevens met betrekking tot iemands seksueel gedrag of seksuele geaardheid [54];
Journalisten kunnen – tegen het algemene verbod in – persoonsgegevens met betrekking tot strafrechtelijke feiten en veroordelingen verwerken [55];
Journalisten moeten geen informatie verstrekken aan betrokkenen bij de verkrijging van persoonsgegevens (bijvoorbeeld via een privacy policy), ook niet wanneer de informatie niet bij de betrokkene zelf wordt verzameld [56];
Journalisten moeten niet ingaan op de vraag van een betrokkene om inzage van de persoonsgegevens die ze over hem bijhouden [57];
Journalisten moeten niet ingaan op een verzoek om rectificatie vanwege een betrokkene [58];
Journalisten moeten niet ingaan op een verzoek om gegevenswissing vanwege een betrokkene die het ‘recht op vergetelheid’ inroept [59];
Journalisten moeten niet ingaan op een verzoek tot beperking van de verwerking [60];
Journalisten moeten niet ingaan op een verzoek om persoonsgegevens in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen, zodat een betrokkene zijn gegevens kan overdragen aan een andere entiteit [61];
Journalisten moeten niet ingaan op het bezwaar van een betrokkene wegens ‘onrechtmatigheid’ van de verwerking, bijvoorbeeld omdat de verwerker geen of een onvoldoende gerechtvaardigde belang zou hebben ervoor [62].

Wat blijft er uiteindelijk over van responsplichten ten aanzien van betrokkenen ? In essentie nog een enkele: die om aan een betrokkene een informatielek te melden wanneer dit een ‘hoog risico’ inhoudt voor diens rechten en vrijheden (zie hoger). [63] De verwerkingsverantwoordelijke moet het incident dan ‘onverwijld’ aan de betrokkene melden. De melding is evenwel niet vereist wanneer ze onevenredige inspanningen zou vergen (ze wordt dan vervangen door een openbare mededeling) of wanneer de verwerkingsverantwoordelijke achteraf de nodige beschermingsmaatregelen heeft genomen (deze vrijstellingen gelden voor alle databankhouders, niet enkel journalisten).

CONTROLE EN SANCTIES

In uitvoering van de AVG [64] heeft de Belgische wetgever een Gegevensbeschermingsautoriteit (GBA) [65] in het leven geroepen. De GBA, die in de plaats komt van de vroegere Privacycommissie, ziet toe op de naleving van de AVG en behandelt klachten van betrokken personen. In dat kader beschikt ze over een hele reeks bevoegdheden: [66]

onderzoeksbevoegdheden, zoals het opvragen van informatie bij een verwerkingsverantwoordelijke of verwerker, het toegang krijgen tot alle verwerkte persoonsgegevens en andere nodige informatie, en het binnengaan in de bedrijfsruimten van verwerkingsverantwoordelijke of verwerker;
corrigerende bevoegdheden, zoals een waarschuwing, een berisping, een tijdelijke of definitieve verwerkingsbeperking of verwerkingsverbod, het rectificeren of wissen van persoonsgegevens, en het opleggen van een administratieve geldboete. Voor sommige inbreuken kunnen die boeten oplopen tot € 10 miljoen of zelfs 2% van de totale wereldwijde jaaromzet in het voorafgaande boekjaar, voor andere inbreuken kan het gaan om € 20 miljoen of 4% van de wereldwijde omzet in het voorafgaande jaar [67];
advies- en autorisatiebevoegdheden (zie hoger).

Met betrekking tot al deze bevoegdheden van de GBA, bepaalt de Belgische uitvoeringswet nog een belangrijke uitzondering voor journalisten: ze zijn op hen niet van toepassing wanneer dit “aanwijzingen zou verschaffen over de bronnen van informatie of een controlemaatregel voorafgaandelijk aan de publicatie van een artikel zou uitmaken”. [68]

Gesprek met staatssecretaris voor Privacy Philippe De Backer (Open Vld) over de AVG en journalistiek

‘Evenwicht drong zich op’

Staatssecretaris voor Privacy Philippe De Backer (Open Vld) maakt zich sterk dat de nieuwe Belgische privacywet een goed evenwicht biedt tussen gegevensbescherming voor de burger en de vrijheid van journalistiek. “De Europese Verordening komt niet in haar volle gewicht op journalisten terecht, ondanks de beperkte administratieve verplichtingen die overblijven.”

Pol Deltour Charlotte Michils

Philippe De Backer: “We hebben alleszins een brede raadpleging gehouden over het journalistieke hoofdstuk in de nieuwe wet. Sowieso moesten we de Privacycommissie horen, en daarnaast was er ook uitgebreid overleg met de VVJ, VRT, VTM en nog anderen. Dat leerde ons dat de onverkorte toepassing van de Europese AVG problematisch zou zijn geweest voor journalisten. Toch was het geen gemakkelijke belangenafweging. Zo pleitte de Privacycommissie voor een ruime gegevensbescherming voor de burger, terwijl de Raad van State vanuit een bredere focus meer aandacht had voor journalistieke uitzonderingen op de AVG. We hebben dan naar een compromis gezocht dat de fundamentele principes aan beide zijden ongemoeid liet. Voor de journalistiek zijn dat onder meer het bronnengeheim en het verbod op voorafgaande censuur.”

De Journalist: Blijft een reeks administratieve verplichtingen over, waaronder het bijhouden van een register van de verwerkingsactiviteiten. Voor een individuele journalist is dat toch een wat vreemde extra last.

De Backer: “Toch moet je ook hier de context blijven zien. Om te beginnen gelden veel verplichtingen uit de AVG niét voor journalisten. De Verordening komt dus geenszins in haar volle gewicht op de journalist terecht. Bovendien meen ik dat zo’n register op een vrij eenvoudige manier kan worden bijgehouden, zonder dat dit een torenhoge last hoeft te zijn. Uiteindelijk kan de journalist het zelfs in zijn voordeel uitspelen, als instrument om te verdedigen waarom hij zus of zo werkt. Ik raad trouwens aan om hierover in overleg te gaan met de Gegevensbeschermingsautoriteit, en met haar af te spreken wat er allemaal in dat register moet worden opgenomen. Sowieso zal de komende tijd moeten blijken wat werkt en niet werkt.”

DJ: In enkele EU-landen hebben journalisten meer afwijkingen op de AVG verkregen dan bij ons. De Nederlandse en Duitse wetgevers bijvoorbeeld stellen journalisten ook vrij van diverse administratieve verplichtingen.

De Backer: “Zeker, maar je moet altijd in detail bekijken waarom die uitzonderingen daar zo worden ingevuld. In die landen blijken er dan achterliggende structuren, andere wetgeving of een zekere cultuur te bestaan die deze keuzes verantwoorden. Vergeleken met Nederland bijvoorbeeld moeten Belgische journalisten inderdaad een register bijhouden, maar de rol van de toezichthoudende autoriteit ten aanzien van journalisten wordt bij ons veel restrictiever opgevat. De achterliggende gedachte hier is dat we in België zoveel mogelijk controle bij de journalisten zelf willen houden.”

DJ: De AVG en haar Belgische uitvoeringswet breiden het sanctieapparaat voor schendingen van de privacy aanzienlijk uit. Moeten ook journalisten nu voor monsterboetes gaan vrezen?

De Backer: “Zowel de inspectiediensten als de geschillenkamer kunnen diversifiëren bij het opleggen van een straf. Het gaat om een getrapt systeem. Zo kunnen er in ernstige gevallen inderdaad hoge boetes worden opgelegd, maar kan er bij minder grote schendingen worden uitgeweken naar een zijprocedure, waarbij er eerst wordt verwittigd of bemiddeld alvorens gestraft. Nee dus, journalisten die goed hun werk doen, hoeven zich met deze nieuwe wet geen extra zorgen te maken.”

De AVG in de praktijk

Het moet zowat de snelste toepassing van de nieuwe AVG-reglementering tegen een journalist zijn geweest: de eis van de familie D. om uit de lijst www.derijkstebelgen.be te worden gewist.

Het verzoek liep op 14 juni binnen bij Ludwig Verduyn, beheerder van derijkstebelgen.be. Dat was nog ruim een maand voordat het Belgische parlement de AVG-uitvoeringswet goedkeurde met het uitzonderingsregime voor journalisten. Klagers van dienst zijn broer en zus D., zaakvoerders van de naar de familie genoemde firma D., een belangrijke Europese toeleverancier van de autosector. De familie staat in de lijst rijkste Belgen van Ludwig Verduyn met een vermogen van ruim 55 miljoen euro. Volgens broer en zus D. is hun privacy geschonden. Samen met hun moeder, de weduwe van oprichter Omer D., claimen ze het recht op vergetelheid en vorderen ze de schrapping van hun persoonsgegevens op de site. Daar gaat Ludwig Verduyn niet op in. Aan de advocaat van de familie liet hij weten dat het recht op gegevenswissing niet van toepassing is op journalistiek werk. De Europese AVG zelf, en met name artikel 17, voorziet in de vrijstelling. (PD)

MODELDOCUMENTEN

Contractuele regeling tussen verwerkingsverantwoordelijke en verwerker

artikel 28 AVG Juiste keuze van een verwerker Wanneer een verwerking namens een verwerkingsverantwoordelijke wordt verricht, doet de verwerkingsverantwoordelijke uitsluitend een beroep op verwerkers die voldoende garanties bieden met betrekking tot het toepassen van passende technische en organisatorische maatregelen, zodat de verwerking aan de vereisten van deze verordening voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd. Noodzaak van een overeenkomst De verwerking door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt. De overeenkomst of andere rechtshandeling wordt in schriftelijke vorm, waaronder elektronische vorm, opgesteld. Inhoud van de overeenkomst De inhoud van de overeenkomst wordt uitdrukkelijk bepaald door de AVG in artikel 28.3. Elke overeenkomst moet algemene informatie bevatten die betrekking heeft op:

het onderwerp en de duur van de verwerking,
de aard en het doel van de verwerking,
het soort persoonsgegevens,
de categorieën van betrokkenen,
de rechten en verplichtingen van de verwerkingsverantwoordelijke.

De overeenkomst moet overigens ook de verplichtingen bevatten die toepasselijk zijn op de verwerker:

eerbiediging van de instructies,
nemen van passende beveiligingsmaatregelen,
er op toezien dat de personen die gemachtigd zijn om persoonsgegevens te verwerken er zich toe verbinden de vertrouwelijkheid in acht te nemen of dat ze gebonden zijn aan een passende wettelijke vertrouwelijkheidsplicht,
voldoen aan de voorwaarden van de AVG voor het in dienst nemen van een andere verwerker,
de verwerkingsverantwoordelijke zoveel mogelijk bijstaan met geschikte technische en organisatorische maatregelen, bijstand verlenen bij het vervullen van zijn plicht inzake verzoeken om uitoefening van de rechten van de betrokkene te beantwoorden,
de verwerkingsverantwoordelijke bijstand verlenen bij het doen nakomen van de verplichtingen (rekening houdend met de informatie die ter beschikking is van de verwerker),
naargelang de keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens wissen, terugbezorgen of verwijderen bij het einde van de verwerkingsopdracht,
aan de verwerkingsverantwoordelijke alle informatie verstrekken die nodig is om het bewijs te leveren dat hij zijn verplichtingen heeft nagekomen en om audits mogelijk te maken, waaronder inspecties, door de verwerkingsverantwoordelijke of een gemachtigde controleur en om aan deze audits bij te dragen.

Met betrekking tot dit laatste streepje zal de verwerker de verwerkingsverantwoordelijke onmiddellijk in kennis stellen indien naar zijn mening een instructie inbreuk oplevert op deze verordening of op andere Unierechtelijke of lidstaatrechtelijke bepalingen inzake gegevensbescherming. De vereiste van een degelijke overeenkomst met de verwerker kan complex lijken. Daarom voorziet de AVG in de mogelijkheid voor de Europese Gegevensbeschermingsautoriteit om modelcontractbepalingen op te stellen, die de Belgische GBA vervolgens kan overnemen.

Register van de verwerkingsactiviteiten

De AVG verplicht de verwerkingsverantwoordelijke (of zijn vertegenwoordiger) en ook de verwerkers om een interne documentatie bij te houden van de verwerkingsactiviteiten die onder hun verantwoordelijkheid werden verricht. Met dit Register hebben de verwerkingsverantwoordelijken en de verwerkers een overzicht van de persoonsgegevensverwerkingen die zij verrichten en kunnen zij deze identificeren. Dit register moet schriftelijk (elektronisch), helder en begrijpelijk zijn. Het Register moet specifieke informatie bevatten over iedere verrichte verwerking:


WIE ? - Vul de naam en de contactgegevens in van de verwerkingsverantwoordelijke (en zijn wettelijke vertegenwoordiger) en van de functionaris voor gegevensbescherming als u er een moet aanstellen- Stel een lijst op van de verwerkers	WAT? - Identificeer de categorieën verwerkte gegevens en de categorieën betrokken personen. - Identificeer de zogenaamde gevoelige gegevens zoals de gezondheidsgegevens en gerechtelijke gegevens.	WAAROM? Identificeer de doeleinden waarvoor de gegevens worden ingezameld. Er moet een beschrijving gebeuren per doeleinde.

WAAR? - Vermeld de categorieën bestemmelingen (ook indien ze in derde landen gevestigd zijn) naar waar de gegevens worden overgedragen. - Vermeld de doorgiften aan een derde land of internationale organisatie en identificeer het land en in voorkomend geval de bestaande passende waarborgen.	TOT WANNEER? Vermeld voor iedere categorie gegevens de bewaartermijn. De bewaartermijn moet niet noodzakelijk uitgedrukt worden in aantal dagen, maanden of jaren maar mag ook verwijzen naar de tijd die noodzakelijk is om een concreet project te realiseren.	HOE? Geef een algemene beschrijving van de ingevoerde technische en organisatorische beveiligingsmaatregelen die garanderen dat het beveiligingsniveau aan het risico is aangepast.

Model voor het register De Gegevensbeschermingsautoriteit stelt op haar website een model voor een verwerkingsregister ter beschikking. Dit is slechts een model, men is niet verplicht om het te gebruiken. Lees meer over het modelregister

Voetnoten

[1] We kiezen in dit document voor de Nederlandstalige uitdrukking, ook al is de Engelse benaming General Data Protection Regulation of afgekort GDPR eveneens gemeengoed. De officiële naam is EU-Verordening 2016/679 van het Europees Parlement en de Raad van de Europese Unie van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. De AVG komt in de plaats van de Europese Richtlijn 95/46/EG, die hetzelfde voorwerp had. [2] Zie onder meer

Artikel 1270 Ger Wb: verbod van weergave van gerechtelijke debatten inzake echtscheiding
Artikelen 372-378 Swb: mogelijkheid van gesloten deuren in zaken m.b.t. aanranding van de eerbaarheid en verkrachting
Artikel 378bis SWB: verbod van publicatie of uitzending van herkenbaarheidsinformatie van slachtoffers van seksuele misdrijven
Artikel 433bis Swb: verbod van herkenbaarheidsinformatie van jongeren betrokken in jeugdbescherming

[3] Artikel 1382 Burgerlijk Wetboek: Wie een fout maakt en daardoor schade berokkent aan iemand anders, moet die [4] Wet van 23 juni 1961 betreffende het recht tot antwoord; Titel XI Vlaamse decreten betreffende de radio-omroep en de televisie gecoördineerd op 4 maart 2005 [5] Zie hoofdstuk IV van de Code van de Vlaamse Raad voor de Journalistiek. [6] Artikel 23 Code van de Vlaamse Raad voor de Journalistiek [7] Hoofdstuk I van de Code [8] Artikel 15 Code van de Vlaamse Raad voor de Journalistiek: De journalist gebruikt loyale methodes om informatie, foto's, beelden en documenten te verkrijgen of te verwerken. De journalist maakt geen misbruik van zijn hoedanigheid, in het bijzonder ten aanzien van mensen in een maatschappelijk kwetsbare situatie zoals minderjarigen, slachtoffers van criminaliteit, rampen en ongevallen, en hun familie. Artikel 21 van dezelfde Code: De journalist maakt met bronnen of andere gesprekspartners geen afspraken die zijn onafhankelijkheid in het gedrang brengen. Maar gemaakte afspraken moeten wel worden nageleefd, met name wanneer het gaat over het noemen van namen of de voorinzage van teksten. Precies om die reden moeten afspraken ook duidelijk en ondubbelzinnig zijn. [9] AVG artikel 4, 1) [10] AVG artikel 4, 2) [11] AVG artikel 2, 1, c) [12] De AVG en de Belgische uitvoeringswet hebben het letterlijk over ‘uitzonderingen’ en ‘afwijkingen’ voor ‘verwerkingen voor journalistieke doeleinden’. In deze nota vertalen we dit vrij naar ‘vrijstellingen voor journalisten’. [13] Deze vrijstellingen staan al voor een stuk in de AVG zelf, maar vooral in de Belgische uitvoeringswet. Artikel 85 van de AVG bepaalt immers dat elke nationale wetgever in de EU voor journalistieke activiteiten afwijkingen kan (zelfs: moet) regelen. Dat heeft de Belgische overheid ook ruimschoots gedaan in artikel 24 van de Wet betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. Dezelfde vrijstellingen gelden overigens voor “academische, artistieke en literaire uitdrukkingsvormen”. De VVJ/AVBB heeft – samen met de Raad voor de Journalistiek, de uitgeversfederaties, de nieuwsmediabedrijven en de hoofdredacties – bij de wetgever aangedrongen op zoveel mogelijk vrijstellingen voor journalisten, kwestie van hun werk niet ongepast te bemoeilijken. De Privacycommissie zit op een heel andere lijn, en oordeelde (en vindt nog steeds) dat de Belgische wet al te veel vrijstellingen voor journalisten bevat. [14] Overweging 153 die voorafgaat aan de eigenlijke AVG: “Gelet op het belang van het recht van vrijheid van meningsuiting in elke democratische samenleving, dienen begrippen die betrekking hebben op die vrijheid, zoals journalistiek, ruim te worden uitgelegd.” [15] De verwijzing naar ‘respect voor journalistieke deontologie’ kwam er op vraag van de AVBB. Tijdens de bespreking in het parlement stelden PS en Ecolo voor om deze verwijzing te schrappen en te vervangen door de meer algemene notie ‘informeren over een onderwerp van openbaar belang en bijdragen aan een openbaar debat’. Zo zouden ook ngo’s en klokkenluiders van de journalistieke vrijstellingen kunnen genieten. Deze amendementen werden verworpen. [16] Op taalkundig vlak laat deze definitie te wensen over. Zo is de uitdrukking ‘elke media’ ronduit fout nu ‘media’ een meervoudsvorm is. [17] In de Memorie van Toelichting bij de Belgische uitvoeringswet wordt uitdrukkelijk naar de Raad voor de Journalistiek verwezen. [18] AVG hoofdstuk IV [19] AVG artikel 26 gaat over ‘Gezamenlijke verwerkingsverantwoordelijken’ [20] AVG artikel 28 Zie aan het eind van dit document een meer gedetailleerde handleiding voor het opmaken van deze overeenkomst. [21] Ook wel data protection officer of dpo genoemd. [22] AVG artikel 37 [23] Een bevestiging hiervan door de Gegevensbeschermingsautoriteit kan ter zake zekerheid bieden – zie verder. [24] AVG artikel 5 [25] AVG artikel 6 [26] Nog twee mogelijke rechtsgronden zijn: - een wettelijke verplichting of het algemeen belang; - de vitale belangen van de betrokkene of een andere persoon. Deze zijn voor journalistiek werk niet aan de orde. [27] AVG artikel 12 [28] AVG artikelen 24 en 25 [29] AVG artikel 24, 2 [30] AVG artikel 32, 1 [31] AVG artikel 32, 1, a) [32] AVG artikel 32, 1, d) [33] AVG artikel 32, 1, c) [34] AVG artikel 33 [35] Belgische uitvoeringswet artikel 24, §3 [36] AVG artikel 34 [37] AVG artikel 35. Ook genoemd data protection impact assessment of dpia. [38] Een bevestiging door de Gegevensbeschermingsautoriteit moet ter zake duidelijkheid bieden, zij werkt op het ogenblik van dit schrijven aan lijsten van gegevensverwerkingen die al dan niet onder de GEB-verplichting vallen. [39] AVG artikel 36 [40] Belgische uitvoeringswet artikel 24, §3 [41] AVG artikel 30. Deze verplichting geldt (onder meer) voor alle organisaties die op een ‘niet-incidentele’ manier persoonsgegevens verwerken, in principe vallen alle journalistieke gegevensverwerkingen dus onder de bepaling. [42] AVG artikel 30, 2 [43] AVG artikel 30, 4. Deze plicht van terbeschikkingstelling op aanvraag vervangt de eerdere verplichting van databankhouders om systematisch aangifte te doen van elke verwerking van persoonsgegevens aan de vroegere Privacycommissie. [44] Belgische uitvoeringswet artikel 24, §3 [45] AVG artikel 31 [46] Belgische uitvoeringswet artikel 24, § 3 [47] AVG artikel 40 [48] In het verlengde hiervan kan de Gegevensbeschermingsautoriteit (of een door haar gemachtigde instantie) ook 3 jaar geldende certificaten afleveren, waarmee wordt aangetoond dat een verwerkingsverantwoordelijke volgens de AVG-regels werkt. Zie AVG artikel 42 [49] AVG hoofdstuk IV [50] Belgische uitvoeringswet artikel 24, § 4 [51] ‘Betrokkene’ is de officiële term die de AVG en de Belgische uitvoeringswet hanteren voor een persoon van wie de persoonsgegevens worden verwerkt. [52] Belgische uitvoeringswet artikel 24, § 2. De AVG zelf voert ook wel beperkingen in op de rechten van betrokkenen, onder meer ter ‘bescherming van de rechten en vrijheden van anderen’. Maar deze inperking is bijlange niet zo helder en absoluut als de vrijstellingen die voor journalisten zijn opgenomen in de Belgische uitvoeringswet. [53] Niet-toepasselijkheid van de artikelen 7 en 8 AVG. Blijf daarbij wel rekening houden met andere voorschriften, met name van deontologische aard, die in specifieke gevallen toch een toestemming veronderstellen voor journalistieke berichtgeving (zie hoger). [54] Niet-toepasselijkheid van artikel 9 AVG [55] Niet-toepasselijkheid van artikel 10 AVG [56] Niet-toepasselijkheid van de artikelen 13 en 14 AVG [57] Niet-toepasselijkheid van artikel 15 AVG [58] Niet-toepasselijkheid van artikel 16 AVG. Toch opgelet: deze vrijstelling doet niets af aan de wettelijke regeling inzake het recht tot antwoord, noch aan de deontologische bepalingen inzake woord/wederwoord of het rechtzetten van foute informatie. [59] Niet-toepasselijkheid van artikel 17 AVG. Deze vrijstelling staat niet in de Belgische uitvoeringswet, omdat ze al in artikel 17 AVG zelf is opgenomen en dit een nationaal-wetgevende ingreep overbodig maakt. Dat de AVG zelf al journalisten vrijstelt van het respecteren van het recht op vergetelheid, is niet verwonderlijk. Een van de kerntaken van journalisten is juist om nieuwsfeiten ook te duiden en in een historische context te plaatsen. [60] Niet-toepasselijkheid van artikel 18 AVG [61] Niet-toepasselijkheid van artikel 20 AVG [62] Niet-toepasselijkheid van artikel 21.1 AVG. Opgelet: de vrijstelling geldt niet voor verwerkingen die te maken hebben met direct marketing (artikel 21.2 en 3 AVG), ter zake behoudt een betrokkene dus zijn recht van bezwaar. [63] AVG artikel 34 [64] AVG hoofdstuk VI [65] www.gegevensbeschermingsautoriteit.be [66] AVG artikel 58 [67] AVG artikel 83 [68] Belgische uitvoeringswet artikel 24, §5