Data (Use and Access) Bill: nieuwe privacywetgeving in het Verenigd Koninkrijk?

Eind oktober heeft de Britse regering opnieuw een poging gedaan om de gegevensbeschermingswetgeving in het Verenigd Koninkrijk te hervormen. Het meest recente wetsvoorstel, de Data (Use and Access) Bill (DUA Bill), bevat verschillende eerder voorgestelde hervormingen uit de Data Protection and Digital Information Bill (DPDI Bill), maar introduceert daarnaast ook een aantal belangrijke wijzigingen.

De DUA Bill heeft ten opzichte van zijn voorganger een andere koers gekozen en richt zich sterker op het mogelijk maken van een breder gebruik van gegevens om de economie te stimuleren, publieke dienstverlening te verbeteren en het dagelijks leven van mensen eenvoudiger te maken. Volgens de Britse regering is de DUA Bill vooral bedoeld om gegevens binnen verschillende sectoren van de Britse economie beter te benutten en publieke diensten efficiënter te maken.

DUA Bill: belangrijkste voorstellen

Enkele van de nieuwe hervormingsvoorstellen zijn:

• Bijzondere categorieën van persoonsgegevens: de Secretary of State krijgt de bevoegdheid om de lijst met bijzondere categorieën van persoonsgegevens uit te breiden en aanvullende verwerkingsactiviteiten aan te wijzen waarop het verbod op verwerking van toepassing is.
• Persoonsgegevens van kinderen: de Information Commissioner’s Office (ICO) krijgt een aanvullende verplichting om bij de uitvoering van zijn taken onder de gegevensbeschermingswetgeving rekening te houden met de kwetsbaarheid van kinderen in relatie tot de verwerking van persoonsgegevens.
• Klachten van betrokkenen: ook de procedure voor het indienen van klachten bij de ICO wordt gewijzigd. Betrokkenen moeten hun klacht eerst indienen bij de verantwoordelijke verwerkingsverantwoordelijke. Alleen wanneer de klacht niet naar tevredenheid wordt afgehandeld, kan deze worden voorgelegd aan de ICO. Dit voorstel is bedoeld om het aantal klachten dat rechtstreeks bij de ICO wordt ingediend te verminderen.
• Onderzoek naar onlineveiligheid: het wetsvoorstel bevat tevens voorstellen tot wijziging van de Online Safety Act. Hiermee zou de Secretary of State regelgeving kunnen vaststellen die gereguleerde aanbieders verplicht om onderzoekers toegang te geven tot informatie die relevant is voor onderzoek naar onlineveiligheid.

DUA Bill en DPDI Bill

De DUA Bill behoudt daarnaast verschillende bepalingen uit de eerdere DPDI Bill. Hieronder vallen onder meer:

• Onderzoek: de uitzondering voor ‘wetenschappelijk onderzoek’ wordt uitgebreid, zodat ook privaat gefinancierd en commercieel onderzoek hieronder kan vallen.
• Gezondheidsgegevens: IT-systemen binnen de gezondheidszorg zullen aan gemeenschappelijke standaarden moeten voldoen om gegevensuitwisseling tussen verschillende platforms mogelijk te maken. De Secretary of State krijgt de bevoegdheid om informatiestandaarden voor IT-diensten in de gezondheidszorg vast te stellen. Deze standaarden kunnen technische vereisten bevatten op het gebied van functionaliteit, connectiviteit, interoperabiliteit, overdraagbaarheid, opslag en gegevensbeveiliging.
• PECR en cookies: de DUA Bill bevat een voorstel om in bepaalde gevallen geen toestemming te vereisen voor cookies die slechts een laag risico voor gebruikers opleveren. Dit geldt bijvoorbeeld voor cookies die uitsluitend worden gebruikt voor analytische doeleinden en voor cookies die strikt noodzakelijk zijn om de beveiliging te waarborgen of fraude te voorkomen of op te sporen.

Een andere belangrijke voorgestelde wijziging die de DUA Bill behoudt, betreft de verplichting om een UK Representative aan te stellen. Momenteel geldt deze verplichting voor bepaalde verwerkingsverantwoordelijken die buiten het Verenigd Koninkrijk zijn gevestigd. In de eerdere DPDI Bill werd nog voorgesteld om deze verplichting af te schaffen, maar de DUA Bill handhaaft deze eis.

Conclusie

De duidelijke inzet van de Britse regering op hervorming van de gegevensbeschermingswetgeving, gecombineerd met het schrappen van enkele meer controversiële onderdelen uit eerdere voorstellen, maakt het aannemelijk dat de DUA Bill uiteindelijk in wetgeving zal worden omgezet.

Zodra de wet in werking treedt, zullen organisaties moeten beoordelen welke wijzigingen en aanvullende verplichtingen op hen van toepassing zijn en welke maatregelen nodig zijn om hieraan te voldoen.

Bij DPO Consultancy blijven wij deze ontwikkelingen nauwlettend volgen.