Sinds 25 mei 2018 is de Europese AVG (Algemene Verordening Gegevensbescherming) van toepassing, en dat heeft ook gevolgen voor journalisten. Welke precies, staat voorlopig nog niet helemaal vast. Daarvoor is het wachten op de Belgische uitvoeringswet, die een reeks uitzonderingen op de AVG voor journalisten zal opsommen. De federale regering keurde op 25 mei een wetsontwerp goed, dat nu nog door Kamer en Senaat moet worden goedgekeurd.
Om te beginnen met de meest prangende vraag: moeten journalisten, gelet op het uitblijven van de Belgische uitvoeringswet met hun vrijstellingen, voorlopig dan de volledige AVG toepassen ? Heel formeel misschien wel, maar in de praktijk kan het onmogelijk zo’n vaart lopen. Journalisten bevinden zich momenteel in een juridisch vacuüm, en dat ligt enkel aan de wetgever, niet aan hen. Bovendien heeft de bevoegde staatssecretaris voor Privacybeschermg, Philippe De Backer (Open VLD), herhaaldelijk laten weten dat er zeker in de beginperiode geen jacht zal worden gevoerd op overtreders, zeker niet als het om zelfstandigen of kleine organisaties gaat.
Gewoon voortdoen zoals we tot nog toe deden, is dus de boodschap. Maar wel ook goed de communicatie van de overheid en de VVJ over de nakende inwerkingtreding van de Belgische AVG-wet in de gaten houden.
Andere belangrijke voorafgaande vraag: voor welke journalisten precies zouden de vrijstellingen op de AVG gelden? Hoe definieert de wetgever met andere woorden ‘journalistiek’?
Volgens het wetsontwerp van 25 mei moet het gaan om “de voorbereiding, het verzamelen, opstellen, voortbrengen, verspreiden of archiveren ten behoeve van het informeren van het publiek, met behulp van elke media en waarbij de verwerkingsverantwoordelijke zich de naleving van journalistieke deontologische regels tot taak stelt”. In de AVG staat dat het gaat om ‘professionele dataverwerkingen’, puur privé gebruik van persoonsgegevens valt dus buiten het toepassingsgebied.
In een vorige versie stond dat de informatie in kwestie ‘van algemeen belang’ moest zijn, maar die notie is op vraag van de VVJ geschrapt. Wel is er op ons verzoek dus een verwijzing naar de Code en de Raad voor de Journalistiek – en aan Franstalige kant de Conseil de Déontologie Journalistique. Journalisten die een beroep doen op de AVG-vrijstellingen, worden dus verondersteld zich hieraan te onderwerpen.
Inhoudelijk dan. De AVG bepaalt in artikel 85 dat nationale wetgevers op het gros van de AVG-bepalingen ‘uitzonderingen of afwijkingen’ kunnen regelen voor dataverwerkingen voor journalistiek doeleinden. Hetzelfde geldt voor ‘academische, artistieke of literaire uitdrukkingsvormen’.
Aan onder meer de Belgische overheid dus om de privacyverplichtingen in de AVG in overeenstemming te brengen met de vrijheid van meningsuiting en informatie.
Een overzicht van de AVG-bepalingen die, op basis van het wetsontwerp van 25 mei, al dan niet van toepassing zijn op journalisten, volgt hierna.
De VVJ is verheugd dat de regering, in vergelijking met de oorspronkelijke werktekst, extra afwijkingen voor journalisten heeft opgenomen. Toch blijven er nog een pak verplichtingen over, die voor redacties, en zeker voor individuele journalisten niet werkbaar zijn. Het gaat daarbij vooral om de administratieve verplichtingen in Hoofdstuk IV van de AVG. Op dit punt blijft de VVJ dan ook aandringen op meer vrijstellingen voor journalistiek werk.
Volgens het wetsontwerp van 25 mei zijn dit de vrijstellingen die journalisten krijgen. Opgelet: voor sommige vrijstellingen gelden voorwaarden, maar in de praktijk zouden die niet zwaar mogen doorwegen.
Voorwaarden voor toestemming (artikel 7 AVG)
Journalistiek vormt op zich een rechtmatige basis om aan gegevensverwerking te doen. Bijgevolg moeten journalisten hiervoor in principe geen toestemming vragen, en zijn ze evenmin onderworpen aan de nogal strikte voorwaarden ter zake. Bij voorbeeld een geïnterviewde of gefotografeerde persoon heeft dan ook niet het recht om zomaar zijn toestemming voor publicatie in te trekken. Weliswaar kunnen hierover vooraf altijd afspraken worden gemaakt; dan moeten die conform de Code van de Raad voor de Journalistiek, ook worden nageleefd.
Specifieke voorwaarden voor de toestemming van kinderen (artikel 8 AVG)
Niet van toepassing op journalisten. Zie hierover wel de Code en bijhorende richtlijnen van de Raad voor de Journalistiek.
Verwerking van bijzondere categorieën van persoonsgegevens (artikel 9 AVG)
Het gaat om het bijhouden en verwerken van informatie met betrekking tot ras, etnische afkomst, politieke opvattingen, religieuze overtuigingen, gezondheidsgegevens en dies meer. De AVG verbiedt dit principieel. Voor journalisten geldt dit verbod evenwel niet.
Verwerking van gegevens met betrekking tot strafbare feiten en veroordelingen (artikel 10 AVG)
Kan volgens de AVG enkel ‘onder toezicht van de overheid’, maar ook deze bepaling is niet van toepassing op journalistiek.
Kennisgeving wanneer identificatie niet (meer) is vereist (artikel 11.2 AVG)
Vrijstelling voor journalisten.
Verplichte informatieverstrekking wanneer men persoonsgegevens bij iemand verzamelt (artikel 13 AVG)
Verplichte informatieverstrekking wanneer persoonsgegevens niet van de betrokkene zelf worden verkregen (artikel 14 AVG)
Niet van toepassing voor journalisten.
Recht van inzage voor betrokkenen (artikel 15 AVG)
Niet van toepassing voor journalisten.
Recht op rectificatie voor betrokkenen (artikel 16 AVG)
Niet van toepassing voor journalisten.
Recht op gegevenswissing (vergetelheid) voor betrokkenen (artikel 17 AVG)
Niet van toepassing voor journalisten (op basis van de AVG zelf, een Belgische uitzonderingsbepaling is dus niet nodig).
Recht op beperking van de verwerking voor betrokkenen (artikel 18 AVG)
Vrijstelling voor journalisten.
Verplichte kennisgeving bij rectificatie, wissing of verwerkingsbeperking (artikel 19 AVG)
Geldt niet voor journalisten.
Recht op overdraagbaarheid van gegevens voor betrokkenen (artikel 20 AVG)
Niet ten aanzien van journalisten.
Recht van bezwaar tegen verwerking voor betrokkenen (artikel 21.1 AVG)
Niet ten aanzien van journalisten.
Verplichting tot terbeschikkingstelling van het register van de verwerkingsactiviteiten aan de Gegevensbeschermingsautoriteit (artikel 30.4 AVG)
Redacties en individuele journalisten moeten een register bijhouden van hun verwerkingsactiviteiten, met daarin een reeks verplichte vermeldingen (zie verder). Maar als de Privacycommissie om inzage daarvan vraagt, moeten ze daar niet op ingaan – althans voor zover dit “een voorgenomen publicatie in het gedrang kan brengen of het een controlemaatregel zou uitmaken voorafgaand aan de publicatie van een artikel”.
Verplichte medewerking met de Gegevensbeschermingsautoriteit als die daarom vraagt (artikel 31 AVG)
Geldt niet voor journalisten – althans voor zover dit “een voorgenomen publicatie in het gedrang kan brengen of het een controlemaatregel zou uitmaken voorafgaand aan de publicatie van een artikel”.
Verplichte melding van een informatielek aan de Gegevensbeschermingsautoriteit (artikel 33 AVG)
Niet voor journalisten – althans voor zover dit “een voorgenomen publicatie in het gedrang kan brengen of het een controlemaatregel zou uitmaken voorafgaand aan de publicatie van een artikel”.
Voorafgaande raadpleging Gegevensbeschermingsautoriteit (artikel 36 AVG)
Dit betreft een verplichting om de Privacycommissie te raadplegen bij een ‘hoog risico’ op informatielekken.
Ook hiervan zijn journalisten vrijgesteld – althans voor zover dit “een voorgenomen publicatie in het gedrang kan brengen of het een controlemaatregel zou uitmaken voorafgaand aan de publicatie van een artikel”.
Extra verplichtingen bij de doorgifte van persoonsgegevens aan derde landen of internationale organisaties (hoofdstuk V AVG)
Gelden niet voor journalisten – althans “in de mate het nodig is om het recht op bescherming van persoonsgegevens in overeenstemming te brengen met de vrijheid van meningsuiting en informatie”.
Bevoegdheden van de Gegevensbeschermingsautoriteit (artikel 58 AVG)
Het gaat over onderzoeksbevoegdheden, zoals het opvragen van informatie en controles, en corrigerende bevoegdheden zoals een waarschuwing, een berisping, een verbod/gebod of het opleggen van een administratieve geldboete (die kan oplopen tot 20 miljoen euro of 4 % van de jaaromzet).
Deze maatregelen kunnen niet worden opgelegd aan journalisten, althans wanneer dit “aanwijzingen zou verschaffen over de bronnen van informatie of een controlemaatregel voorafgaand aan de publicatie van een artikel zou uitmaken”.
Dan blijft de hamvraag: welke AVG-bepalingen blijven volgens het wetsontwerp van 25 mei wél onverkort gelden voor journalisten ? We beperken ons hier tot bepalingen die een effectieve impact hebben op journalistiek werk, dus niet veeleer technische en neutrale artikelen uit de AVG.
Beginselen (artikel 5 AVG)
Elke professionele gegevensverwerking moet “rechtmatig, behoorlijk en transparant” zijn. Gegevens mogen enkel “voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld”. De verzamelde gegevens moeten verder “ter zake dienend” zijn, en “beperkt tot wat noodzakelijk is voor de doeleinden”. De gegevens moeten ook “juist” zijn en “zo nodig worden geactualiseerd”. Ze moeten worden bewaard in een vorm die het mogelijk maakt betrokkenen niet langer te identificeren dan nodig voor de doeleinden. Tot slot moet een “passende beveiliging” worden voorzien.
Rechtmatigheid van de verwerking (artikel 6 AVG)
Dit artikel bepaalt dat een gegevensverwerking “rechtmatig” is als de verwerker daarvoor een “gerechtvaardigd belang” heeft. In de Memorie van Toelichting wordt verduidelijkt dat journalistiek hieronder valt.
Algemene regels communicatie (artikel 12 AVG)
Journalisten moeten “beknopt”, “transparant”, “begrijpelijk”, “toegankelijk” en “in duidelijke en eenvoudige taal” communiceren over de rechten die betrokkenen hebben en ook over eventuele informatielekken. Maar gelet op de vrijstellingen die journalisten krijgen met betrekking tot de rechten van betrokkenen (zie hoger), blijft deze verplichting formeel beperkt tot het melden van een informatielek.
Verzetsmogelijkheid voor betrokkenen tegen geautomatiseerde verwerkingen (inclusief profiling) als dit gevolgen heeft voor de betrokkene (artikel 22 AVG)
Is formeel van toepassing voor journalisten, maar zal in de praktijk wellicht geen problemen leveren.
Verwerkingsverantwoordelijke en verwerker (hoofdstuk IV AVG)
Volgens de huidige regeringstekst zou dit hoofdstuk grotendeels van toepassing zijn op redacties en journalisten. Het gaat om een reeks vooral administratieve verplichtingen. Zeker voor individuele journalisten dreigen deze verplichtingen een pak extra rompslomp te veroorzaken. De VVJ blijft dan ook aandringen op meer vrijstellingen ter zake. Hierna een artikelsgewijze opsomming van de verplichtingen in hoofdstuk IV AVG.
De verwerkingsverantwoordelijke moet een gegevensbeschermingsbeleid uitwerken (artikelen 24 en 25 AVG).
De verwerkingsverantwoordelijke kan samenwerken met andere verwerkers, maar die moeten voldoende betrouwbaar zijn en met hen moeten ter zake contractuele afspraken worden gemaakt (artikelen 28 en 29 AVG).
Elke verwerkingsverantwoordelijke moet een register van de verwerkingsactiviteiten bijhouden. Daarin moeten worden opgenomen: contactgegevens, de verwerkingsdoeleinden, de categorieën van bijgehouden persoonsgegevens, en de categorieën van eventuele ontvangers van de gegevens (artikel 30 AVG). Deze verplichting moet weliswaar worden samengelezen met de vrijstelling voor journalisten om dit register ter beschikking te houden van de Privacycommissie.
Verwerkingsverantwoordelijken en verwerkers moeten “passende technische en organisatorische maatregelen treffen teneinde een op het risico afgestemd beveiligingsniveau te waarborgen” (artikel 32 AVG).
Een eventueel informatielek moet aan betrokkenen worden gemeld wanneer dit “een hoog risico inhoudt voor hun rechten en vrijheden” (artikel 34 AVG). Deze verplichting geldt weliswaar niet wanneer ze “onevenredige inspanningen” zou vergen of wanneer de verwerkingsverantwoordelijke achteraf de nodige “beschermingsmaatregelen” heeft genomen.
Elke verwerkingsverantwoordelijke moet een gegevensbeschermingseffectbeoordeling opmaken voor een verwerking die een “hoog risico” inhoudt voor personen (artikel 35 AVG). Het is maar de vraag of ook journalistieke dataverwerkingen hieronder vallen. Mogelijk biedt de Gegevensbeschermingsautoriteit hierover later meer duidelijkheid.
Sommige verwerkingsverantwoordelijken moeten een functionaris voor gegevensbescherming (dpo of data protection officer) aanstellen (artikelen 37, 38 en 39 AVG). Volgens de omschrijving vallen journalisten en zelfs redacties in hun geheel evenwel niet onder deze bepaling – tenzij de Gegevensbeschermingsautoriteit hier later anders over zou beslissen…
Blijven tot slot eveneens van toepassing voor journalisten: de AVG-bepalingen met betrekking tot de aansprakelijkheid van verwerkingsverantwoordelijken en verwerkers, de mogelijkheid voor betrokkenen om een klacht in te dienen en de sanctiebevoegdheid van de Gegevensbeschermingsautoriteit (hoofdstuk VIII AVG). De AVG zelf bepaalt immers dat hierop geen afwijkingen voor journalisten mogelijk zijn. Zo kan de Gegevensbeschermingsautoriteit geldboeten opleggen tot 10 miljoen euro of 2 % van de jaaromzet voor administratieve tekortkomingen, en tot 20 miljoen euro of 4 % van de jaaromzet voor inbreuken op de rechten van betrokkenen (artikel 83 AVG).
Pol Deltour / VVJ
