De AP sprak de ambtsvoorganger van de minister op 3 januari 2022 al per brief aan op de verwerkingen van PNR-gegevens en de nationale PNR-wetgeving. Hierbij constateerde de AP dat het PNR-stelsel meebrengt dat stelselmatig een zeer grote hoeveelheid persoonsgegevens wordt verzameld, geautomatiseerd verwerkt en bewaard van een zeer grote groep personen waarop het vizier niet is gericht. De noodzaak en evenredigheid van die verwerkingen kon volgens de AP niet worden gerechtvaardigd, met name vanwege hun mass surveillance-karakter, en moest nader worden onderbouwd.

Evenwichtige afweging tussen de doelstelling en rechten
Het evenredigheidsbeginsel, ook wel proportionaliteitsbeginsel, vormt voor een belangrijk deel de basis van het PNR-arrest. Dit is een van de algemene beginselen van het EU-recht en voor de EU-grondrechten neergelegd in artikel 52 Handvest. In dit verband houdt evenredigheid in dat alleen beperkingen kunnen worden gesteld aan de EU-grondrechten als dit noodzakelijk is en daadwerkelijk beantwoordt aan door de EU erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen. In het PNR-arrest overwoog het HvJEU onder andere dat de bescherming van het grondrecht op eerbiediging van het privéleven vereist dat uitzonderingen op de bescherming van de persoonsgegevens en de beperkingen ervan binnen de grenzen van het strikt noodzakelijke blijven. Dit moet worden vastgesteld via een evenwichtige afweging tussen de doelstelling en de op het spel staande rechten. Volgens het HvJEU kan criminaliteitsbestrijding in algemene zin volgens het evenredigheidsbeginsel geen rechtvaardiging vormen voor door de PNR-richtlijn veroorzaakte ernstige inmengingen.

Focus op evenredigheid
Inmiddels is de trend te herkennen dat de AP bijzondere aandacht heeft voor de waarborging van evenredigheid en het evenredigheidsbeginsel. Zo stuurde de AP op 20 februari 2023 een brief aan de Kamercommissie voor Digitale Zaken over het niet opvolgen van een advies door de Minister van Economische Zaken en Klimaat. Dit advies betrof een wijziging van het Handelsregisterbesluit waardoor in het Handelsregister van de Kamer van Koophandel een lijst openbaargemaakt zou worden van personen die een bestuursverbod opgelegd hebben gekregen, voor een periode van vijf jaar. De AP adviseerde tegen deze wetswijziging, onder andere omdat deze verwerkingen niet evenredig zouden zijn in relatie tot het beoogde doel. Een ander voorbeeld is de inbreng van aanvullende thema's d.d. 26 januari 2023 voor de evaluatie en eerstvolgende wetswijziging van de UAVG. Volgens de AP moet de wetgeving omtrent de beperkingen van de rechten van betrokkenen (huidig artikel 41 UAVG) voldoen aan de strikte normen van het evenredigheidsbeginsel.

Ook voor bedrijven belangrijk
De genoemde voorbeelden hebben met name betrekking op overheden. Dit sluit aan bij het focusgebied digitale overheid van de AP, waarover zij het document 'Focus AP 2020-2023: Dataprotectie in een digitale samenleving' publiceerde. Ook voor bedrijven is het belangrijk om aandacht te hebben voor evenredigheid. In het privacyrecht geldt namelijk dat noodzakelijkheid moet worden vastgesteld op basis van evenredigheid (i.e. proportionaliteit) en subsidiariteit, en noodzakelijkheid vormt een bestanddeel voor verschillende normen onder de AVG. Denk bijvoorbeeld aan een rechtmatig doeleinde, de verwerkingsgrondslag en gegevensminimalisering. Bedrijven doen er daarom goed aan om bijzondere aandacht te besteden aan de evenredigheidsvraag en dit in het kader van de accountability deugdelijk te documenteren.

Onderzoeks- en handhavingsbevoegdheid
Aan het eind van de brief wijst de AP erop dat zij als toezichthouder volledig bevoegd is om onderzoek te doen naar compliance met de regels voor gegevensbescherming op nationaal niveau en dat zij handhavend optreedt. Zij kan bijvoorbeeld een verwerkingsverbod opleggen op grond van artikel 58 lid 2(f) AVG. Daarnaast kan zij een last onder dwangsom opleggen (op grond van artikel 16 UAVG) of een bestuurlijke boete (op grond van artikel 18 UAVG, specifiek voor overheden). Het verwerkingsverbod is een duidelijk signaal, maar geen stok achter de deur om de overtreder tot herstel te bewegen. Als JenV zich niet aan een eventueel verwerkingsverbod houdt, kan de AP overgaan tot het opleggen van een last onder dwangsom of een bestuurlijke boete.

Al eerder liet de AP zien dat zij niet schroomt om andere overheden te beboeten. In 2021 legde zij boetes op van EUR 600.000 aan het college van B&W van Enschede (voor wifi-tracking), EUR 2,75 miljoen aan de Belastingdienst (voor onvoldoende beveiligen van persoonsgegevens), en EUR 3,75 miljoen aan de Belastingdienst (voor overtredingen die te maken hadden met de 'Fraude Signalering Voorziening'). Ook beboette zij de minister van Buitenlandse Zaken voor EUR 565.000 vanwege de slechte beveiliging van visumaanvragen. De focus op overheden volgt ook uit het op 1 maart 2023 aangekondigde versterkte toezicht op de gemeente Eindhoven.

Ter afsluiting van de brief laat de AP weten dat zij graag binnen 14 dagen (na dagtekening van de brief) een reactie ontvangt, waarin JenV aangeeft welke actie ondernomen is en eventueel nog wordt ondernomen. We kunnen ons goed voorstellen dat dit een ambitieuze tijdlijn is.