Witte rook in het parlement voor de GBA
Op 22 december jongstleden had de BAM zich bezorgd geuit over de aanzienlijke vertraging bij de benoeming van de nieuwe directie van de GBA, waardoor de bedrijven die lid zijn van de BAM zich in een onhoudbare situatie bevonden. Doordat de GBA nog steeds niet benoemd was, terwijl de boetes in geval van niet-naleving van de GDPR enorm zijn, botsten bedrijven op heel wat onbekende factoren. Ze verwachten begeleiding door de GPD, waarvan de directieleden pas op 29 maart 2019 eindelijk benoemd werden.
Op 25 mei 2018 werd de GDPR van kracht, met als bedoeling de Europese wetgeving af te stemmen op de moderne maatschappij, onder impuls van de nieuwe technologieën in de digitale sector. Het is in deze context dat de wetgever bij wet van 3 december 2017 een nieuwe GBA heeft opgericht.
Het voormalige adviesorgaan, de Privacycommissie, wordt hiermee een controle- en sanctioneringsautoriteit die met de nodige strengheid moet toezien op de verwerking van persoonsgegevens, rekening houdend met de juridische, economische, ethische en technologische aspecten van de hedendaagse digitale maatschappij. Daartoe voorziet de wet in een directiecomité, een algemeen secretariaat, een kenniscentrum, een inspectiedienst en een geschillenkamer.
Het directiecomité bestaat uit de verantwoordelijken van de vier andere organen en een bemiddelaar belast met gegevensbescherming, die benoemd wordt door de Kamer van volksvertegenwoordigers voor een mandaat van zes jaar dat één keer vernieuwd kan worden. De Privacycommissie telde 16 leden waarvan slechts 2 voltijdse, en wordt nu een orgaan met 5 voltijdse mandaten.
De bevoegdheden van de GBA kunnen in vier categorieën ondergebracht worden.
In volgorde van belang zijn dit:
- Informatie en advies verstrekken aan privépersonen, verwerkingsverantwoordelijken (en hun verwerkers) en politieke besluitvormers opdat zij de wetgeving inzake gegevensbescherming zouden naleven of toepassen.
- Verwerkingsverantwoordelijken (en hun verwerkers) zo veel mogelijk doorverwijzen naar de preventie-instrumenten van de GDPR, zoals certificering, naleving van gedragscodes, aanstelling van een DPO, ...
- Verwerkingsverantwoordelijken (en hun verwerkers) controleren met een voor dit doel opgeleide inspectiedienst.
- Sancties opleggen die al naargelang van het geval variëren van waarschuwingen tot boetes, zodat een evenwichtige en proportionele behandeling mogelijk is volgens de ernst van de situatie.
De leden hadden idealiter door het parlement benoemd moeten zijn op de dag dat de GDPR in werking trad: 25 mei 2018, de uiterste datum voor alle bedrijven om zich in orde te stellen met de GDPR. Er is echter heel wat tijd nodig geweest voor de benoemingen. Aanstelling door het parlement tijdens de plenaire vergadering stond gepland voor 28 maart. Op 29 maart om 1u15 's nachts wordt dan de stemming over de benoeming van het Directiecomité van de GBA dan toch afgerond. Om 1u37 worden de resultaten aangekondigd:
- Directeur van het algemeen secretariaat: Dhr. David Stevens
- Directeur van de eerstelijnsdienst: Mevr. Charlotte Dereppe
- Directeur van het kenniscentrum: Mevr. Alexandra Jaspar
- Inspecteur-generaal: Dhr. Peter Van den Eynde
- Voorzitter van de geschillenkamer: Dhr. Hielke Hijmans
David Stevens is bedrijfsjurist en Europese DPO bij The Nielsen Company. Charlotte Dereppe is raadgeefster op het kabinet van de staatssecretaris voor privacy (Philippe De Backer). Alexandra Jaspar verantwoordelijke DPO en Compliance bij bpost. Peter Van den Eynde is juridisch adviseur bij de Privacycommissie en Hielke Hijmans is onafhankelijk expert in Europees gegevensbeschermingsrecht.
Maar we zijn er nog niet. Er moeten nog zes leden worden aangeduid voor het kenniscentrum, naast zes leden voor de geschillenkamer.