Besluit inzake de verklaring omtrent
Gedragscode Data Pro Code van Nederland
ICT1; z2018-11482.
1 Inleiding: aanleiding en aanvraag goedkeuring
1 Op 6 november 2018 heeft Nederland ICT de Autoriteit Persoonsgegevens (AP) verzocht om de
gedragscode Data Pro Code (hierna: de Gedragscode) goed te keuren op grond van artikel 40, lid 5, van
de Algemene Verordening Gegevensbescherming (AVG). Deze aanvraag is bij de AP bekend onder
z2018-11482 onder de naam ‘Nederland ICT’. Bij brief van 25 februari 2019 heeft Nederland ICT een
aangepaste versie van de Gedragscode ingediend, en deze versie is door de AP getoetst. Bij de
Gedragscode is een bijlage opgenomen met daarin een Standaard Verwerkersovereenkomst. De
Standaard Verwerkersovereenkomst bestaat uit twee delen: het zogenoemde Data Pro Statement en
Standaardclausules voor verwerkingen. Het Data Pro Statement biedt een gestructureerd raamwerk
waarmee de verwerker de verwerkingsverantwoordelijke kan informeren over de waarborgen die hij
biedt ten aanzien van de naleving van de AVG. De verwerker moet het Data Pro Statement invullen en
publiceren of opnemen in het verwerkerscontract. Bij de Gedragscode is nog een tweede bijlage
opgenomen, met daarin uitgangspunten voor het privacy-beleid en het Data Pro Statement (met
toelichting). Deze laatstgenoemde bijlage is door de AP niet inhoudelijk getoetst.
2 Ingevolge artikel 40, vijfde lid, AVG brengt de AP advies uit over de vraag of de Gedragscode strookt
met de AVG, en keurt de AP de Gedragscode goed indien zij van oordeel is dat de gedragscode
voldoende passende waarborgen biedt.
3 In het navolgende concludeert de AP dat de Gedragscode strookt met de AVG en voldoende passende
waarborgen biedt, en keurt de AP de Gedragscode goed. Aan de goedkeuring is de opschortende
voorwaarde verbonden dat binnen twee jaar na de datum van bekendmaking van het definitieve besluit
inzake de verklaring omtrent de Gedragscode in de Staatscourant: er een orgaan is dat het toezicht
uitoefent op de naleving van de Gedragscode zoals bedoeld in artikel 40, lid 4, AVG, en dat dit orgaan
door de AP is geaccrediteerd zoals bedoeld in artikel 41, lid 1, AVG.
2 Procedureverloop
4 Vanaf 21 maart 2018 is er met Nederland ICT een informeel overlegtraject gestart over de goedkeuring
van de Gedragscode.
1 Sinds de ontvangst van de aanvraag is de naam van de indiener gewijzigd van Nederland ICT naar NLdigital. In dit besluit wordt de
oorspronkelijke naam gehanteerd.
5 Per e-mail van 6 november 2018 heeft Nederland ICT een aangepaste versie toegestuurd van de
Gedragscode. Daarbij is overeengekomen dat de AP deze mail met de daarbij gevoegde documenten
beschouwt als de formele aanvraag voor goedkeuring van de gedragscode. Daarbij geldt dat de AP voor
kerst 2018 Nederland ICT op de hoogte stelt van eventueel aanwezige belemmeringen die goedkeuring
in de weg staan, en dat de AP Nederland ICT op de hoogte zal houden van relevante ontwikkelingen en
van het vervolg van de procedure.
6 Bij brief van 19 december 2018 heeft de AP aan Nederland ICT laten weten het verzoek om goedkeuring
van de Gedragscode te hebben ontvangen en in behandeling te hebben genomen. De AP geeft in de
brief aan dat de Gedragscode op een aantal punten nadere invulling, verduidelijking of verbetering
behoeft. Deze punten zijn in de brief nader toegelicht. Op 23 januari 2019 heeft de AP met Nederland
ICT de gemaakte opmerkingen besproken.
7 Per e-mail van 24 januari 2019 heeft Nederland ICT aan de AP een nieuwe versie toegestuurd van het
Data Pro Statement en de Standaardclausules voor verwerkingen.
8 Per e-mail van 11 februari 2019 heeft Nederland ICT aan de AP een herziene versie toegestuurd van de
Gedragscode. Op 14 februari 2019 heeft de AP met Nederland ICT de herziene versie besproken. Verder
heeft Nederland ICT in deze bespreking het toezicht op de naleving van de Gedragscode en evaluatie en
bijstelling van de Gedragscode toegelicht.
9 Per e-mail van 20 februari 2019 heeft Nederland ICT aan de AP een herziene versie toegestuurd van de
Gedragscode. Per e-mail van 22 februari 2019 heeft de AP een aantal opmerkingen gemaakt over de
herziene versie van de Gedragscode.
10 Bij brief van 25 februari 2019 heeft Nederland ICT aan de AP een herziene versie toegestuurd van de
Gedragscode. In de begeleidende brief gaat Nederland ICT inhoudelijk in op de brief van de AP van 19
december 2018.
11 Bij brief van 25 juli 2019 heeft de AP Nederland ICT het ontwerpbesluit toegestuurd inzake de
verklaring omtrent de Gedragscode.
12 Van 13 augustus tot en met 23 september 2019 lag het ontwerpbesluit inzake de verklaring omtrent de
Gedragscode met de onderliggende stukken ter inzage bij de AP, Bezuidenhoutseweg 30 in Den Haag.
13 Binnen deze periode heeft de AP twee zienswijzen ontvangen. De eerste zienswijze (zienswijze 1) werd
ingediend bij brief van 16 september 2019, en werd door de AP ontvangen op 17 september 2019. De
tweede zienswijze (zienswijze 2) werd ingediend bij brief van 19 september 2019, en werd door de AP
ontvangen op 23 september 2019.
14 Bij brief van 17 oktober 2019 heeft de AP de indieners van beide zienswijzen gevraagd om hun belang
bij het ontwerpbesluit uiterlijk op 1 november 2019 nader toe te lichten en, desgewenst, ook de
zienswijzen inhoudelijk nog nader aan te vullen.
15 Op 28 oktober 2019 hebben de indieners van zienswijze 1 gevraagd om verlenging van de termijn met
twee weken. De AP heeft het gevraagde uitstel verleend. Op 12 november 2019 heeft de AP de nadere
2/16
toelichting ontvangen.
16 Op 30 oktober 2019 heeft de indiener van zienswijze 2 aan de AP laten weten dat hij tot de conclusie
was gekomen dat in zijn geval geen sprake was van een belang dat rechtstreeks bij het besluit was
betrokken. Hij gaf aan geen gebruik te maken van de mogelijkheid om een nadere toelichting te geven
of de zienswijze nader aan te vullen.
17 Per e-mail van 20 december 2019 heeft de AP aan Nederland ICT een samenvatting gestuurd van beide
zienswijzen, met daarbij de uitnodiging tot het geven van een inhoudelijke reactie. Per e-mail van 10
januari 2020 heeft Nederland ICT aan de AP een inhoudelijke reactie gestuurd op de ontvangen
zienswijzen.
18 Op verzoek van Nederland ICT heeft de AP in januari 2020 aan de indieners van beide zienswijzen
gevraagd om hun contactgegevens door te mogen geven aan Nederland ICT, zodat Nederland ICT met
hen contact op kon nemen om de punten uit de zienswijzen in een gesprek nader toe te lichten. De
indieners van beide zienswijzen stemden hiermee in. Per mail van 27 februari 2020 heeft Nederland
ICT aan de AP laten weten met de indieners van beide zienswijzen te hebben gesproken. Volgens
Nederland ICT hielden de vragen van de indieners vooral verband met het feit dat de indieners niet
beschikten over de bijlagen bij de Gedragscode (het Data Pro Statement en de Standaardclausules voor
verwerkingen).
19 Bij brief van 24 maart 2020 hebben de indieners van zienswijze 1 een reactie gegeven naar aanleiding
van het gesprek met Nederland ICT.
3 Beoogde toepassing van de Gedragscode
20 In de Gedragscode geeft Nederland ICT aan dat deze een nadere uitwerking is van de verplichtingen
voor verwerkers op grond van artikel 28 AVG en dat deze uitsluitend van toepassing is op
verwerkingen in Nederland.
21 Verder heeft Nederland ICT toegelicht dat de Gedragscode speciaal is geschreven voor de kleine en
micro ICT-onderneming die verwerker is voor zijn klanten. Nederland ICT geeft aan dat de
Gedragscode niet exclusief is bestemd voor de leden van Nederland ICT, maar dat iedere verwerker
zich (vrijwillig) kan onderwerpen aan de Gedragscode.
4 Wettelijk kader
4.1 Doelstellingen van gedragscodes
Overweging 98 AVG stelt: “Verenigingen en andere organen die categorieën van de
verwerkingsverantwoordelijken of verwerkers vertegenwoordigen, dienen te worden aangemoedigd om
binnen de grenzen van deze verordening gedragscodes op te stellen, teneinde de doeltreffende uitvoering
van deze verordening te bevorderen, rekening houdend met het specifieke karakter van de verwerkingen in
sommige sectoren en de specifieke behoeften van kleine, middelgrote en micro-ondernemingen. Deze
gedragscodes zouden met name het ijkpunt kunnen zijn voor de verplichtingen van
3/16
verwerkingsverantwoordelijken en verwerkers, rekening houdend met de aan de verwerking verbonden
risico's voor de rechten en vrijheden van natuurlijke personen.”
Artikel 40, eerste lid, AVG bepaalt: “De lidstaten, de toezichthoudende autoriteiten, het Comité en de
Commissie bevorderen de opstelling van gedragscodes die, met inachtneming van de specifieke
kenmerken van de diverse gegevensverwerkingssectoren en de specifieke behoeften van kleine,
middelgrote en micro-ondernemingen, moeten bijdragen tot de juiste toepassing van deze verordening.”
Artikel 40, tweede lid, AVG bepaalt: “Verenigingen en andere organen die categorieën van
verwerkingsverantwoordelijken of verwerkers vertegenwoordigen, kunnen gedragscodes opstellen, of die
codes wijzigen of uitbreiden, teneinde de toepassing van deze verordening nader toe te lichten, zoals met
betrekking tot:
a) behoorlijke en transparante verwerking;
b) de gerechtvaardigde belangen die door verwerkingsverantwoordelijken in een specifieke context
worden behartigd;
c) de verzameling van gegevens;
d) de pseudonimisering van persoonsgegevens;
e) de aan het publiek en betrokkenen verstrekte informatie;
f) de uitoefening van de rechten van betrokkenen;
g) de informatie verstrekt aan en de bescherming van kinderen en de wijze waarop de toestemming
wordt verkregen van de personen die de ouderlijke verantwoordelijkheid voor kinderen dragen;
h) de maatregelen en procedures als bedoeld in de artikelen 24 en 25 en de maatregelen ter beveiliging
van de verwerking als bedoeld in artikel 32;
i) de kennisgeving van inbreuken in verband met persoonsgegevens aan toezichthoudende autoriteiten
en de mededeling van die inbreuken in verband met persoonsgegevens aan betrokkenen;
j) de doorgifte van persoonsgegevens aan derde landen of internationale organisaties; of
k) buitengerechtelijke procedures en andere procedures voor de beslechting van geschillen tussen
verwerkingsverantwoordelijken en betrokkenen met betrekking tot verwerking, onverminderd de
rechten van betrokkenen op grond van de artikelen 77 en 79.”
4.2 Totstandkoming van gedragscodes
Overweging 99 AVG stelt: “Bij de opstelling van een gedragscode, of bij wijziging of uitbreiding van een
dergelijke code, moeten verenigingen en andere organen die categorieën van
verwerkingsverantwoordelijken of verwerkers vertegenwoordigen, overleg plegen met de
belanghebbenden ter zake, waaronder waar mogelijk met betrokkenen, en rekening houden met bijdragen
en standpunten naar aanleiding van dit overleg.”
4.3 Goedkeuring van gedragscodes
4.3.1 Algemeen
Artikel 40, vijfde lid, AVG bepaalt: “De in lid 2 van dit artikel bedoelde verenigingen en andere organen die
voornemens zijn een gedragscode op te stellen of een bestaande gedragscode te wijzigen of uit te breiden,
leggen de ontwerpgedragscode, de wijziging of uitbreiding voor aan de overeenkomstig artikel 51
bevoegde toezichthoudende autoriteit. De toezichthoudende autoriteit brengt advies uit over de vraag of
4/16
de ontwerpgedragscode, de wijziging of uitbreiding strookt met deze verordening, en keurt deze
ontwerpgedragscode, die wijziging of uitbreiding goed indien zij van oordeel is dat de code voldoende
passende waarborgen biedt.”
Artikel 58, derde lid, AVG bepaalt: “Elke toezichthoudende autoriteit heeft alle autorisatie- en
adviesbevoegdheden om:
[…]
d) overeenkomstig artikel 40, lid 5, advies uit te brengen over en goedkeuring te hechten aan de
ontwerpgedragscodes;
Artikel 14, tweede lid, Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) bepaalt: “Op
de voorbereiding van een besluit omtrent goedkeuring van een gedragscode, dan wel de wijziging of
uitbreiding daarvan, als bedoeld in artikel 40, vijfde lid, van de verordening is afdeling 3.4 van de Algemene
wet bestuursrecht van toepassing.”
4.3.2 Gedragscodes die betrekking hebben op verwerkingsactiviteiten in één lidstaat
Artikel 40, zesde lid, AVG bepaalt: “Wanneer de ontwerpgedragscode, de wijziging of uitbreiding wordt
goedgekeurd overeenkomstig lid 5, en indien de gedragscode in kwestie geen betrekking heeft op
verwerkingsactiviteiten in verschillende lidstaten, registreert de toezichthoudende autoriteit de
gedragscode en maakt zij deze bekend.”
4.4 Toepassing van goedgekeurde gedragscodes
Artikel 24, derde lid, AVG bepaalt: “Het aansluiten bij goedgekeurde gedragscodes als bedoeld in artikel 40
[…] kan worden gebruikt als element om aan te tonen dat de verplichtingen van de
verwerkingsverantwoordelijke zijn nagekomen.”
Artikel 28, vijfde lid, AVG bepaalt: “Het aansluiten bij een goedgekeurde gedragscode als bedoeld in artikel
40 […] kan worden gebruikt als element om aan te tonen dat voldoende garanties als bedoeld in de leden 1
en 4 van dit artikel worden geboden.”
Artikel 32, derde lid, AVG bepaalt: “Het aansluiten bij een goedgekeurde gedragscode als bedoeld in artikel
40 […] kan worden gebruikt als element om aan te tonen dat dat de in lid 1 van dit artikel bedoelde
vereisten worden nageleefd.”
Artikel 40, derde lid, AVG bepaalt: “Behalve door verwerkingsverantwoordelijken of verwerkers die onder
deze verordening vallen, kan bij overeenkomstig lid 5 van dit artikel goedgekeurde gedragscodes die
overeenkomstig lid 9 van dit artikel algemeen geldig zijn verklaard, eveneens worden aangesloten door
verwerkingsverantwoordelijken of verwerkers die overeenkomstig artikel 3 niet onder deze verordening
vallen, om te voorzien in passende waarborgen voor doorgifte van persoonsgegevens naar derde landen of
internationale organisaties onder de voorwaarden als bedoeld in artikel 46, lid 2, punt e). Die
verwerkingsverantwoordelijken of verwerkers doen, via contractuele of andere juridisch bindende
instrumenten, bindende en afdwingbare toezeggingen om die passende waarborgen toe te passen, ook wat
betreft de rechten van de betrokkenen.”
5/16
4.5 Mechanismen in gedragscodes t.b.v. toezicht op de naleving
Artikel 40, vierde lid, AVG bepaalt: “Een in lid 2 van dit artikel bedoelde gedragscode bevat mechanismen
die het in artikel 41, lid 1, bedoelde orgaan in staat stellen het verplichte toezicht uit te oefenen op de
naleving van de bepalingen van de code door de verwerkingsverantwoordelijken of verwerkers die zich tot
toepassing ervan verbinden, onverminderd de taken en bevoegdheden van de overeenkomstig artikel 55 of
56 bevoegde toezichthoudende autoriteiten.”
4.6 Toezicht op naleving van gedragscodes door een toezichthoudend orgaan
Artikel 41, eerste lid, AVG bepaalt: “Onverminderd de taken en bevoegdheden van de bevoegde
toezichthoudende autoriteit uit hoofde van de artikelen 57 en 58, kan het op grond van artikel 40
uitgevoerde toezicht op de naleving van een gedragscode worden uitgeoefend door een orgaan dat over de
passende deskundigheid met betrekking tot het onderwerp van de gedragscode beschikt en daartoe door
de bevoegde toezichthoudende autoriteit is geaccrediteerd.”
Artikel 41, tweede lid, AVG bepaalt: “Een orgaan als bedoeld in lid 1 kan daartoe worden geaccrediteerd
om toezicht te houden op de naleving van een gedragscode indien het:
a) ten genoegen van de bevoegde toezichthoudende autoriteit zijn onafhankelijkheid en deskundigheid
met betrekking tot het onderwerp van de gedragscode heeft aangetoond;
b) procedures heeft vastgesteld op grond waarvan het kan beoordelen of de betrokken
verwerkingsverantwoordelijken en verwerkers in aanmerking komen om de gedragscode toe te
passen, toezicht kan houden op de naleving van de bepalingen van de gedragscode door deze laatsten
en het de werking van de gedragscode op gezette tijden kan toetsen;
c) procedures en structuren heeft vastgesteld om klachten te behandelen over inbreuken op de
gedragscode of over de wijze waarop daaraan uitvoering is of wordt gegeven door een
verwerkingsverantwoordelijke of verwerker, en om die procedures en structuren voor betrokkenen en
het publiek transparant te maken; en
d) ten genoegen van de bevoegde toezichthoudende autoriteit aantoont dat zijn taken en bevoegdheden
niet tot een belangenconflict leiden.”
Artikel 41, zesde lid, AVG bepaalt: “Dit artikel geldt niet voor de verwerking door overheidsinstanties en -
organen.”
5 Beoordeling van de Gedragscode
22 Op grond van artikel 58, derde lid onder d, AVG word de Gedragscode beoordeeld. De beoordeling is
gebaseerd op de aanvraag tot goedkeuring, de gevoerde correspondentie2, de Gedragscode3 en de
Standaard Verwerkersovereenkomst4. De beoordeling vindt plaats aan de hand van het wettelijk kader.
2 Zie voor contactmomenten paragraaf 2 ‘Procedureverloop’.
3 Bij brief van 25 februari 2019 heeft Nederland ICT een aangepaste versie van de Data Pro Code ingediend, en deze versie is door de AP
getoetst.
4 Bij de Data Pro Code is een bijlage opgenomen met daarin een Standaard Verwerkersovereenkomst. De Standaard
Verwerkersovereenkomst bestaat uit twee delen: het zogenoemde Data Pro Statement en Standaardclausules voor verwerkingen. De
AP heeft de versie getoetst die door Nederland ICT per e-mail is ingediend op 25 januari 2019.
6/16
23 Het Comité heeft richtsnoeren uitgebracht voor gedragscodes en toezichthoudende organen onder de
AVG (de richtsnoeren).5 De beoordeling vindt mede plaats aan de hand van deze richtsnoeren.
24 De beoordeling wordt al volgt vorm gegeven: allereerst wordt ingegaan op de ontvankelijkheid van het
verzoek tot goedkeuring van de Gedragscode (paragraaf 5.1). Vervolgens wordt de Gedragscode
inhoudelijk beoordeeld (paragraaf 5.2). Tot slot wordt de conclusie op grond van de inhoudelijke
beoordeling weergegeven (paragraaf 5.3).
5.1 Ontvankelijkheid van het verzoek
5.1.1 Representativiteit van de indiener van de gedragscode6
25 Nederland ICT is een branchevereniging die zichzelf omschrijft als belangenbehartiger en
vertegenwoordiger van de Nederlandse ICT-sector. Nederland ICT geeft aan dat de leden een
dwarsdoorsnede vormen van alle ICT-bedrijven in Nederland, van de allergrootste namen tot de
kleinste starters. Op de ledenlijst op de website van Nederland ICT staan ruim 600 bedrijven.7
Nederland ICT heeft verklaard dat de Gedragscode niet exclusief is voor de leden. Ook niet-leden
kunnen zich (vrijwillig) onderwerpen aan de Gedragscode.
26 De AP is van oordeel dat Nederland ICT kan worden aangemerkt als voldoende representatief voor de
sector.
5.1.2 Overleg met belanghebbenden bij het opstellen van de gedragscode8
27 Nederland ICT heeft toegelicht dat de tekst van de Gedragscode in eerste instantie is vormgegeven
door een kopgroep die bestond uit zowel grote als kleine en microbedrijven in de ICT-sector. In de
kopgroep waren zowel verwerkingsverantwoordelijken aanwezig als verwerkers en externe
deskundigen. Verder geeft Nederland ICT aan dat de tekst naderhand is besproken met relevante
stakeholders en is aangepast naar aanleiding van die sessies. Bij de stakeholders noemt Nederland ICT
onder meer VNO-NCW en CIO Platform Nederland. Ook geeft Nederland ICT aan dat er overleg is
geweest met de Vereniging van Nederlandse Gemeenten (VNG realisatie).
28 De AP is van oordeel dat Nederland ICT bij het opstellen van de Gedragscode voldoende heeft overlegd
met belanghebbenden, en acht het aannemelijk dat Nederland ICT voldoende rekening heeft gehouden
met de bijdragen en standpunten naar aanleiding van dit overleg.
5.1.3 Materieel toepassingsgebied van de gedragscode9
29 In de Gedragscode geeft Nederland ICT aan dat deze een nadere uitwerking is van de verplichtingen
voor verwerkers op grond van artikel 28 AVG. Dit blijkt ook uit de inhoud van de Gedragscode,
5 European Data Protection Board, Guidelines 1/2019 on Codes of Conduct and Monitoring Bodies under Regulation 2016/679, Version
2.0, 4 June 2019.
6 Paragraaf 5.2 van de richtsnoeren.
7 Situatie medio 2019.
8 Paragraaf 5.8 van de richtsnoeren.
9 Paragraaf 5.3 van de richtsnoeren.
7/16
aangezien deze is toegespitst op de verwerker.
30 De AP is van oordeel dat Nederland ICT daarmee het materieel toepassingsgebied van de Gedragscode
voldoende heeft bepaald.
5.1.4 Territoriaal toepassingsgebied van de gedragscode10
31 De Gedragscode bepaalt dat deze uitsluitend van toepassing is op verwerkingen in Nederland. De
Gedragscode heeft geen betrekking op verwerkingsactiviteiten in verschillende lidstaten.
32 De AP is van oordeel dat Nederland ICT daarmee het territoriaal toepassingsgebied van de
Gedragscode voldoende heeft bepaald.
5.1.5 Aanwijzing van een orgaan dat toezicht houdt op de naleving11
33 Artikel 41, eerste lid, AVG bepaalt dat het toezicht op de naleving van een gedragscode kan worden
uitgeoefend door een orgaan dat over de passende deskundigheid met betrekking tot het onderwerp
van de gedragscode beschikt en daartoe door de bevoegde toezichthoudende autoriteit is
geaccrediteerd. De richtsnoeren van de EDPB geven aan dat een gedragscode uitsluitend kan worden
goedgekeurd als in de gedragscode een toezichthoudend orgaan wordt genoemd, en als dat
toezichthoudend orgaan is geaccrediteerd door de bevoegde toezichthoudende autoriteit.12
34 In de Gedragscode is opgenomen dat het toezicht op de naleving van de Gedragscode zal worden
uitgeoefend door een onafhankelijke toezichthouder, de Data Pro Toezichthouder. De Data Pro
Toezichthouder is nog niet opgericht.
35 De AP is van oordeel dat Nederland ICT nog niet volledig heeft voldaan aan de voorwaarden voor
goedkeuring van de Gedragscode aangezien de oprichting en de accreditatie van het toezichthoudend
orgaan op grond van artikel 41, lid 1, AVG nog plaats moeten vinden. Om die reden verbindt de AP een
opschortende voorwaarde aan de goedkeuring van de Gedragscode.
5.1.6 Evaluatie en bijstelling van de gedragscode13
36 In de Gedragscode geeft Nederland ICT aan dat deze tenminste eens per twee jaar zal worden
geëvalueerd door het Data Pro Code College, en dat het Data Pro Code College de wijzigingen op de
Gedragscode vaststelt. Bij wijzigingen in de Gedragscode wordt deze opnieuw aan de AP voorgelegd ter
goedkeuring. Nederland ICT heeft daarbij toegelicht dat veranderende wetgeving of inzichten op het
gebied van de AVG bij de evaluatie zullen worden betrokken, evenals relevante ontwikkelingen op het
gebied van de bescherming van persoonsgegevens en informatiebeveiliging.
10 Paragraaf 5.4 van de richtsnoeren.
11 Paragraaf 5.7 van de richtsnoeren.
12 Hoofdstuk 11 van de richtsnoeren: “60. In order for a code (national or transnational) to be approved, a monitoring body (or bodies),
must be identified as part of the code and accredited by the CompSA as being capable of effectively monitoring the code.”
13 Paragraaf 12.7 van de richtsnoeren.
8/16
37 De AP is van oordeel dat Nederland ICT hiermee voldoende aannemelijk heeft gemaakt dat de
Gedragscode regelmatig zal worden geëvalueerd en zal worden bijgesteld indien de omstandigheden
dat vereisen.
5.2 Inhoudelijke beoordeling van de gedragscode
5.2.1 Nut en noodzaak van de gedragscode14
38 Nederland ICT geeft aan dat de Gedragscode geschreven is voor kleine en micro-ondernemingen die
optreden als verwerker van persoonsgegevens. Daarbij geeft Nederland ICT aan dat veel grote
ICTbedrijven al jaren beschikken over privacy-beleid, compliance afdelingen en data protection
officers, maar dat in het MKB, bij de kleine en micro ICT-ondernemingen behoefte bestaat aan
concrete handvatten bij het toepassen van de AVG in hun dagelijkse praktijk. Nederland ICT heeft
toegelicht welke praktijkvragen er bij de totstandkoming van de Gedragscode uit de discussies met de
leden naar voren kwamen. Onder meer ging het om de vraag hoe een verwerker aan derden kan laten
zien dat hij passende maatregelen heeft genomen om te voldoen aan de AVG, en hoe de verwerker kan
voorkomen dat hij te maken krijgt met een te grote variëteit aan verwerkersovereenkomsten. Daarbij
heeft Nederland ICT ook aangegeven welke keuzes er naar aanleiding van deze praktijkvragen bij het
opstellen van de Gedragscode zijn gemaakt. Onder meer heeft Nederland ICT het Data Pro Statement
en de Standaardclausules bij de gedragscode opgenomen om in de genoemde vragen te voorzien.
39 Gezien het vorenstaande acht de AP het voldoende aannemelijk dat de Gedragscode in een behoefte
voorziet binnen de sector waarvoor deze is bestemd.
5.2.2 Nadere toelichting van de AVG15
40 Met de Data Pro Code wil Nederland ICT concrete gedragsregels geven voor verwerkers. De
Gedragscode gaat daarbij in op het informeren van de opdrachtgever over de genomen
beveiligingsmaatregelen, de inhoud van de verwerkersovereenkomst, de omgang met de rechten van
betrokkenen en met datalekken, en op toetsing, evaluatie en aanpassing van de genomen
beveiligingsmaatregelen. De opdrachtgever kan een verwerkingsverantwoordelijke zijn die bij het
verwerken van persoonsgegevens een verwerker in wil schakelen, of een verwerker die gebruik wil
maken van een sub-verwerker. Bij de Gedragscode is een zogenoemd Data Pro Statement opgenomen,
dat de verwerker in moet vullen en moet publiceren of op moet nemen in het verwerkerscontract. Het
Data Pro Statement biedt een gestructureerd raamwerk voor het informeren van de opdrachtgever over
de genoemde zaken. Verder zijn bij de Gedragscode standaardclausules voor het verwerkerscontract
opgenomen.
41 De AP is van oordeel dat de Gedragscode voor de sector waarvoor deze is bestemd de verplichtingen
voor verwerkers op grond van artikel 28 AVG voldoende toelicht.
5.2.3 Mechanismen voor het uitoefenen van toezicht op de naleving16
14 Paragraaf 6.1 van de richtsnoeren.
15 Paragraaf 6.3 van de richtsnoeren.
16 Paragraaf 6.5 van de richtsnoeren.
9/16
42 In de Gedragscode geeft Nederland ICT aan dat de verwerker die de Gedragscode toepast zich
onafhankelijk zal laten toetsen. De toetsing vindt jaarlijks plaats. Daarnaast kunnen er additionele
toetsingen plaatsvinden op onregelmatige basis. Bij voldoende resultaat wordt de verwerker
opgenomen in het openbaar toegankelijke Data Pro Register. De Data Pro Toezichthouder beheert dit
register en maakt het openbaar, en kan verwerkers verwijderen uit het register indien de
omstandigheden daar aanleiding toe geven. In de Gedragscode geeft Nederland ICT aan dat de Data
Pro Toezichthouder zorg draagt voor een klachtenprocedure. Een klacht kan aanleiding zijn voor
verwijdering uit het register.
43 De AP is van oordeel dat de mechanismen die in de Gedragscode zijn opgenomen voor het uitoefenen
van toezicht op de naleving toereikend zijn.
44 Zoals hiervoor uiteen is gezet, is de Data Pro Toezichthouder op dit moment nog niet opgericht en
geaccrediteerd. Om die reden is de AP voornemens om een opschortende voorwaarde te verbinden aan
de goedkeuring van de Gedragscode.
5.2.4 Bevordering van doeltreffende uitvoering van de AVG17
45 Artikel 28, lid 1, van de AVG verplicht de verwerkingsverantwoordelijke om, bij het inschakelen van
een verwerker, uitsluitend een beroep te doen op verwerkers die afdoende garanties bieden met
betrekking tot het toepassen van technische en organisatorische maatregelen, opdat de verwerking
voldoet aan de vereisten van de AVG en de bescherming van de rechten van de betrokkenen is
gewaarborgd. De Gedragscode ondersteunt verwerkers in de ICT-sector bij het bieden van een
zodanige mate van transparantie over de geboden garanties dat verwerkingsverantwoordelijken bij de
selectie van een verwerker tot een gefundeerde keuze kunnen komen.
46 Gezien het vorenstaande is de AP van oordeel dat de Gedragscode de doeltreffende uitvoering van de
AVG bevordert.
5.3 Conclusie op grond van de inhoudelijke beoordeling van de Gedragscode
47 Op grond van de inhoudelijke beoordeling van de Gedragscode concludeert de AP als volgt:
De AP concludeert, op grond van de inhoud van de Gedragscode en de toelichting die Nederland ICT
daarbij heeft verstrekt: dat de Gedragscode strookt met de AVG en voldoende passende waarborgen
biedt zoals bedoeld in artikel 40, lid 5, AVG onder de opschortende voorwaarde dat binnen twee jaar na
de datum van bekendmaking van het definitieve besluit inzake de verklaring omtrent de Data Pro Code
van Nederland ICT in de Staatscourant: er een orgaan is dat het toezicht uitoefent op de naleving van de
Gedragscode zoals bedoeld in artikel 40, lid 4, AVG, en dat dit orgaan door de AP is geaccrediteerd
zoals bedoeld in artikel 41, lid 1, AVG.
17 Paragraaf 6.2 en paragraaf 6.4 van de richtsnoeren.
10/16
6 Zienswijzen
48 De AP heeft het vorenstaande op 25 juli 2019 vastgelegd in een ontwerpbesluit. Op dit ontwerpbesluit
is de uniforme openbare voorbereidingsprocedure van toepassing uit Afdeling 3.4 van de Algemene
wet bestuursrecht (Awb). De uniforme openbare voorbereidingsprocedure geeft belanghebbenden de
mogelijkheid om binnen zes weken hun zienswijze over het ontwerpbesluit naar voren te brengen.
49 Binnen deze periode heeft de AP de volgende zienswijzen ontvangen:
Nr. Indiener Ontvangstdatum
1 Bedrijf 1, bedrijf 2, bedrijf 3, bedrijf 4 17 september 2019
2 Bedrijf 5 23 september 2019
50 Onder een belanghebbende verstaat de Awb “degene wiens belang rechtstreeks bij een besluit is
betrokken”. Bij rechtspersonen zoals belangenorganisaties kan het daarbij ook gaan om “de algemene
en collectieve belangen die zij krachtens hun doelstellingen en blijkens hun feitelijke werkzaamheden
in het bijzonder behartigen.”
51 Op grond van de informatie in de beide zienswijzen kon de AP niet vaststellen of bij de indieners sprake
was van een belang dat rechtstreeks bij het besluit was betrokken. Op verzoek van de AP hebben de
indieners van zienswijze 1 dit nader toegelicht. De indiener van zienswijze 2 heeft aan de AP laten
weten dat hij tot de conclusie was gekomen dat in zijn geval geen sprake was van een belang dat
rechtstreeks bij het besluit was betrokken.
52 De AP heeft Nederland ICT een samenvatting gestuurd van beide zienswijzen, en Nederland ICT heeft
hierop inhoudelijk gereageerd. Verder heeft de AP de indieners van beide zienswijzen in contact
gebracht met Nederland ICT, en heeft Nederland ICT de punten uit de zienswijzen in gesprekken met
de indieners nader besproken. De indieners van zienswijze 1 hebben schriftelijk gereageerd naar
aanleiding van het gesprek met Nederland ICT.
53 Op grond van de nadere toelichting die is gegeven door de indieners van zienswijze 1 komt de AP tot de
conclusie dat drie van de vier indieners een belang hebben bij het ontwerpbesluit zoals dat hierboven is
omschreven. Reden hiervoor is dat de indieners hebben toegelicht dat drie van de vier indieners vaak
verwerker zijn in relatie tot hun klanten, en in die hoedanigheid ook verwerkersovereenkomsten
afsluiten. De AP beschouwt de vierde indiener van zienswijze 1 niet als belanghebbende. Omdat de
andere drie indieners van zienswijze 1 wel als belanghebbende worden aangemerkt, wordt zienswijze 1
ten aanzien van de vierde indiener ambtshalve meegenomen. Zienswijze 2 wordt buiten beschouwing
gelaten.
54 In de onderstaande paragrafen volgt een samenvatting van zienswijze 1 (paragraaf 6.1). Deze wordt
gevolgd door een samenvatting van de reactie van Nederland ICT (paragraaf 6.2) en van de reactie van
de indieners van zienswijze 1 naar aanleiding van het gesprek met Nederland ICT (paragraaf 6.3). Tot
slot wordt de conclusie van de AP weergegeven (paragraaf 6.4).
11/16
6.1 Samenvatting zienswijze 1
6.1.1 Beoordelingscriteria ‘verwerker’
55 De indieners van zienswijze 1 merken dat organisaties worstelen met de rol die zij ten aanzien van
persoonsgegevens innemen. Zo worden veel Verwerkersovereenkomsten afgesloten tussen twee
Verwerkingsverantwoordelijken, of wordt er onterecht van de verkeerde rol (Verwerker of
Verwerkingsverantwoordelijke) uitgegaan. De Data Pro Code van Nederland ICT zou in de inleiding de
beoordelingscriteria in de vorm van een beslisboom kunnen opnemen die helpt om deze rol te helpen
duiden.
6.1.2 Terminologie
56 De indieners van zienswijze 1 constateren dat de terminologie van de AVG in de gedragscode niet altijd
eenduidig wordt toegepast, wat volgens hen snel kan zorgen voor verwarring. Enkele voorbeelden: de
definities ‘Data Processor’ en ‘Verwerker’ worden door elkaar gebruikt; de definities ‘Opdrachtgever’ en
‘Controller’ worden door elkaar gebruikt; de definities ‘Data Pro Statement’, ‘Dataprotectiebeleid’ en
‘Privacybeleid’ scheppen onduidelijkheid. Zij adviseren om een eenduidig begrippenkader te hanteren
en daarbij aan te sluiten bij de definities zoals die worden gebruikt in de AVG.
6.1.3 Data Pro Statement
57 De gedragscode vraagt van de aangesloten partijen dat zij een zogenoemd Data Pro Statement
opstellen. Voor de indieners van zienswijze 1 is niet duidelijk wat het Data Pro Statement is. Enerzijds
zien zij parallellen met het privacybeleid. Daarbij geven zij aan dat de verantwoordelijke dit op zou
moeten stellen en zou moeten publiceren en niet de verwerker. Anderzijds zien zij parallellen met het
beveiligingsbeleid. Zij bevelen aan om, als inderdaad het beveiligingsbeleid wordt bedoeld, dit ook zo te
noemen. Wel achten zij het onwenselijk, en zelfs af te raden, om het beveiligingsbeleid te publiceren.
6.1.4 Concrete invulling van de AVG
58 De indieners van zienswijze 1 adviseren om diverse onderwerpen uit de AVG in de gedragscode nader
in te vullen, waaronder het verwerkingenregister, een procedure voor het melden van datalekken en
een geheimhoudingsverklaring voor medewerkers. Verder lijkt het hen zinvol om een aantal praktische
(standaard)documenten / templates met uitleg toe te voegen. In hun conclusie geven de indieners aan
dat de gedragscode in hun optiek nog niet conform de vereisten van artikel 40 AVG is, aangezien de
concrete invulling op een aantal punten ontbreekt.
6.2 Reactie Nederland ICT op zienswijze 1
6.2.1 Beoordelingscriteria ‘verwerker’
59 Nederland ICT geeft aan de opmerking te herkennen dat partijen soms niet goed weten of ze verwerker
of verantwoordelijke zijn. Op de website van Nederland ICT staat een quickscan waar partijen via een
eenvoudige beslisboom een antwoord op deze vraag kunnen krijgen. Bij twijfel kunnen partijen bij de
12/16
juristen van Nederland ICT navragen of ze verwerker zijn.
6.2.2 Terminologie
60 Nederland ICT geeft aan dat in de verwerkersovereenkomst een definitie is opgenomen (art. 1.6) voor
opdrachtgever die luidt: “partij in wiens opdracht Data Processor persoonsgegevens verwerkt. De
Opdrachtgever kan zowel verwerkingsverantwoordelijke (“controller”) zijn als een andere verwerker.”
Een soortgelijke definitie kan eventueel worden opgenomen in de Gedragscode of in een toelichting.
De woorden ‘opdrachtgever’ en ‘verwerkingsverantwoordelijke/controller’ worden consequent
gebruikt conform deze definitie. In de Gedragscode wordt alleen het woord ‘opdrachtgever’ gebruikt.
Alleen onder nummer 3 en 4 worden beide woorden “controller” en “opdrachtgever” naast elkaar
gebruikt, juist om aan te geven dat de opdrachtgever niet altijd de controller is (bv: “de opdrachtgever,
die controller is, ...) en “opdrachtgever daarvan zo snel mogelijk op de hoogte stellen, zodat de
controller kan voldoen aan zijn wettelijke verplichting binnen 72 uur…).
6.2.3 Data Pro Statement
61 Nederland ICT geeft aan dat het Data Pro Statement breder is dan alleen de technische en
organisatorische maatregelen. Daarbij geeft Nederland ICT aan het belangrijk te vinden dat een (sub-)
verwerker zo volledig mogelijk informeert over hoe hij persoonsgegevens verwerkt, niet alleen op het
vlak van beveiliging, maar bijvoorbeeld ook over de wijze waarop hij aan inzageverzoeken kan
meewerken.
6.2.4 Concrete invulling van de AVG
62 Nederland ICT geeft aan dat een meer concrete invulling niet goed mogelijk is gezien de diversiteit in
de doelgroep van de Gedragscode. Wel onderkent Nederland ICT de behoefte aan concretisering en het
bieden van handvatten voor het MKB. Voor dit doel zijn verschillende templates ontwikkeld. Gezien de
diversiteit van de achterban kunnen deze templates slechts als voorbeelden dienen en zullen ze waar de
omstandigheden dat vragen moeten worden aangepast.
6.3 Reactie indieners zienswijze 1 n.a.v. gesprek Nederland ICT
6.3.1 Beoordelingscriteria ‘verwerker’
63 De indieners van zienswijze 1 geven aan dat Nederland ICT de quick scan heeft toegelicht die
organisaties helpt om de rol van verwerkingsverantwoordelijke c.q. verwerker te duiden. De indieners
zijn van mening dat het raadzaam kan zijn om onder de quick scan een tekst / disclaimer toe te voegen
dat het bepalen van de rol soms maatwerk vergt, de feitelijke beoordeling van de AP doorslaggevend is
(en niet het contract dat gesloten wordt), en dat Nederland ICT kan ondersteunen o.i.d. Dit om te
voorkomen dat te snel van een bepaalde rol wordt uitgegaan terwijl de werkelijkheid weerbarstiger is.
6.3.2 Terminologie
64 De indieners van zienswijze 1 geven aan dat de terminologie van de AVG in de Data Pro Code niet altijd
even eenduidig toegepast. Zij geven aan dat dit nog steeds kan zorgen voor verwarring. Hun advies is
13/16
nog steeds om een eenduidig begrippenkader te hanteren en daarbij aan te sluiten bij de definities zoals
die worden gebruikt in de AVG.
6.3.3 Data Pro Statement
65 De indieners van zienswijze 1 adviseren om de begrippen ‘Statement’ en ‘informatieverplichting’ niet
meer te gebruiken, aangezien deze begrippen met name van belang zijn voor de
verwerkingsverantwoordelijke en dus verwarring scheppen.
6.3.4 Concrete invulling van de AVG
66 De indieners van zienswijze 1 hebben van Nederland ICT de volledige set documenten ontvangen die
hoort bij de Data Pro Code. Ze geven aan dat met name de toelichting bij de Data Pro Code veel van de
door hen aangevoerde punten heeft beantwoord. In hun reactie komen de indieners met een klein
aantal inhoudelijke suggesties.
6.4 Conclusie n.a.v. zienswijze 1
6.4.1 Beoordelingscriteria ‘verwerker’
67 Iedere organisatie die in opdracht van anderen persoonsgegevens verwerkt, of die diensten aanbiedt
waarbij persoonsgegevens worden verwerkt, moet weten of hij dit doet in de rol van
verwerkingsverantwoordelijke of in de rol van verwerker. Een organisatie die ten onrechte meent
verwerkingsverantwoordelijke of juist verwerker te zijn heeft geen juist beeld van zijn verplichtingen op
grond van de AVG, en loopt het risico de AVG te overtreden. Het is terecht dat Nederland ICT hier in de
communicatie met haar leden aandacht aan besteedt en haar leden ondersteunt bij het maken van deze
afweging.
68 De Gedragscode is bedoeld voor verwerkers, en vormt een nadere uitwerking van de verplichtingen van
verwerkers op grond van artikel 28 AVG. De afweging of een organisatie voor een bepaalde verwerking
van persoonsgegevens optreedt als verwerkingsverantwoordelijke of als verwerker valt strikt genomen
buiten de scope van de Gedragscode. De AP is van oordeel dat het voldoende is dat Nederland ICT haar
leden ondersteunt bij het maken van deze afweging, en acht het niet noodzakelijk dat Nederland ICT
hieraan in de Gedragscode specifiek aandacht besteedt.
6.4.2 Terminologie
69 Het in één document gebruiken van Engelse en Nederlandse AVG-termen is vanuit redactioneel
oogpunt minder wenselijk. Zolang het gaat om termen waarvan het duidelijk is dat er hetzelfde mee
wordt bedoeld (bijvoorbeeld ‘Processor’ en ‘Verwerker’) hoeft het gebruik van verschillende termen een
goed begrip van de inhoud van de tekst niet in de weg te staan. Dit wordt anders als er geen 1-op-1
relatie is tussen de gebruikte termen. Dit is aan de orde bij de termen ‘Opdrachtgever’ en ‘Controller’.
Als een verwerkingsverantwoordelijke een verwerker inschakelt, dan is hij binnen hun onderlinge
relatie de opdrachtgever. Echter: een verwerker die een sub-verwerker inschakelt is binnen de relatie
met die sub-verwerker de opdrachtgever, maar hij is niet de verwerkingsverantwoordelijke. Er is in
deze situatie wel een verwerkingsverantwoordelijke, maar die is de opdrachtgever van de verwerker en
14/16
niet van de sub-verwerker. In deze situatie kan het door elkaar gebruiken van ‘Opdrachtgever’ en
‘Controller’ tot onduidelijkheid leiden.
70 De AP is van oordeel dat Nederland ICT het gebruik van de termen ‘Opdrachtgever’ en ‘Controller’
voldoende heeft toegelicht.
6.4.3 Data Pro Statement
71 Bij het inschakelen van een verwerker moet een verwerkingsverantwoordelijke een beroep doen op een
verwerker die afdoende garanties biedt met betrekking tot het toepassen van passende technische en
organisatorische maatregelen zodat de verwerking voldoet aan de AVG en de bescherming van de
rechten van de betrokkenen is gewaarborgd (art. 28, eerste lid, AVG). Wanneer de verwerker een sub-
verwerker inschakelt, dan mag ook hij alleen maar een beroep doen op een sub-verwerker die
voldoende garanties biedt, met betrekking tot passende technische en organisatorische maatregelen
(artikel 28, vierde lid, AVG). Het Data Pro Statement heeft tot doel om verwerkingsverantwoordelijken
en verwerkers bij het inschakelen van (sub)verwerkers inzicht te bieden in de technische en
organisatorische maatregelen die de (sub)verwerker heeft getroffen.
72 De AP is van oordeel dat Nederland ICT de aard en het doel van het Data Pro Statement voldoende
heeft toegelicht.
6.4.4 Concrete invulling van de AVG
73 Een gedragscode hoeft geen nadere invulling te zijn van de volledige AVG. Dit blijkt onder meer uit het
gebruik van de zinsnede “…zoals met betrekking tot…” bij de opsomming in artikel 40, tweede lid,
AVG van onderwerpen uit de AVG die in een gedragscode nader kunnen worden toegelicht. De
Gedragscode vormt een nadere uitwerking van de verplichtingen voor verwerkers op grond van artikel
28 AVG. Ook andere artikelen uit de AVG bevatten verplichtingen voor verwerkers. Het is terecht dat
Nederland ICT haar leden ondersteuning biedt bij het nakomen daarvan.
74 bij De AP is van oordeel dat het voldoende is dat Nederland ICT haar leden ondersteunt bij het
nakomen van de verplichtingen op grond van andere artikelen dan artikel 28 AVG, en acht het niet
noodzakelijk dat Nederland ICT deze verplichtingen concretiseert als onderdeel van de Gedragscode.
Verder is de AP van oordeel dat Nederland ICT de concretisering van de verplichtingen van verwerkers
op grond van artikel 28 AVG in de Gedragscode voldoende heeft toegelicht.
7 Conclusie
75 Gezien het vorenstaande besluit de AP als volgt:
De Autoriteit Persoonsgegevens,
gelet op artikel 40 en 41 van de AVG,
gezien het schriftelijk verzoek van 6 november 2018 van Nederland ICT tot het goedkeuren van de Data
15/16
Pro Code (de Gedragscode),
verklaart, op grond van de inhoud van de Gedragscode en de toelichting die Nederland ICT daarbij
heeft verstrekt: dat de Gedragscode strookt met de AVG en voldoende passende waarborgen biedt
zoals bedoeld in artikel 40, lid 5, AVG,
onder de opschortende voorwaarde dat binnen twee jaar na de datum van bekendmaking van het
definitieve besluit inzake de verklaring omtrent de Data Pro Code van Nederland ICT in de
Staatscourant: er een orgaan is dat het toezicht uitoefent op de naleving van de Gedragscode zoals
bedoeld in artikel 40, lid 4, AVG, en dat dit orgaan door de Autoriteit Persoonsgegevens is
geaccrediteerd zoals bedoeld in artikel 41, lid 1, AVG.
8 Terinzagelegging van de stukken
Op het besluit is op grond van artikel 14, tweede lid, van de Uitvoeringswet AVG, de ‘uniforme openbare
voorbereidingsprocedure’ van afdeling 3.4 van de Algemene wet bestuursrecht (Awb) van toepassing. De
zakelijke inhoud van het besluit wordt in de Staatscourant gepubliceerd. Het besluit en de daarop
betrekking hebbende stukken zullen – ingevolge artikel 3:44 juncto artikel 3:11 Awb – gedurende zes
weken van maandag tot en met vrijdag, tussen 10:00 en 16:00, ter inzage liggen bij de AP,
Bezuidenhoutseweg 30 te Den Haag. Het inzien van de stukken kan alleen op afspraak.
9 Afsluiting en rechtsmiddel
Een belanghebbende kan op grond van de Awb tegen dit besluit beroep instellen bij de rechtbank (sector
bestuursrecht) in het arrondissement, waarbinnen zijn woonplaats valt. Een afschrift van dit besluit moet
worden bijgevoegd. De termijn voor het indienen van beroep bedraagt zes weken en vangt aan met ingang
van de dag na die waarop het besluit overeenkomstig artikel 3:44 eerste lid Awb ter inzage is gelegd. Bij het
indienen van beroep is voorts het volgende van belang. Artikel 6:13 Awb bepaalt dat geen beroep kan
worden ingesteld bij de rechter door een belanghebbende aan wie redelijkerwijs kan worden verweten dat
hij geen zienswijze (als bedoeld in artikel 3:15 Awb) naar voren heeft gebracht. Alleen een belanghebbende
die een zienswijze heeft ingediend, kan beroep in stellen en dan nog uitsluitend voor zover het de
onderdelen van het besluit betreft waartegen zijn zienswijze zich richtte. Die beperking geldt niet voor
zover in het definitieve besluit wijzigingen zijn aangebracht ten opzichte van het ter inzage gelegde
ontwerpbesluit.
Den haag, 20 augustus 2020
Autoriteit Persoonsgegevens,
Overeenkomstig het door de Autoriteit Persoonsgegevens genomen besluit,
ir. C.M. Schut
Directeur Systeemtoezicht, Beveiliging en Technologie
16/16