De auteurs van het wetsvoorstel dat in een buitengewone zitting van 11 september 2024 in de Kamer van Volksvertegenwoordigers werd besproken om de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (GBA) en de wet van 30 juli 2018
betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens aan te passen door enkele bepalingen ervan aan te vullen, zodat de GBA vooraf een voor al haar diensten juridisch bindende beslissing kan nemen die voor de verwerkingsverantwoordelijken meer rechtszekerheid brengt, heeft intussen reeds een advies van de Raad van State (RvS) gekregen.
De Raad van State volgt in haar advies (56K-0218-003) in feite de argumentatie van de GBA.
Het valt nog af te wachten wat de initiatiefnemers van het wetsvoorstel zullen doen. Zullen zij hun voorstel aanpassen, of zullen zij het voorstel laten voor wat het is?
De logica van de ruling
De auteurs van het wetsvoorstel tot invoering van de mogelijkheid voor de GBA om met verwerkingsverantwoordelijken juridisch bindende beslissingen aan te gaan voor een bepaalde periode (5 jaar) vindt zijn oorsprong, zoals de auteurs in hun wetsvoorstel ook zelf aangeven, in het systeem van de fiscale rulings.
Bij de fiscale ruling gaat de fiscale administratie een overeenkomst aan met een belastingplichtige, bijvoorbeeld inzake de aanvaarding van bepaalde voorgenomen transacties of boekingen.
Dit gebeurt bijvoorbeeld bij het systeem van transfer pricing, ook wel bekend onder de benaming inter-company facturatie.
Deze juridisch bindende beslissing biedt de belastingplichtige de rechtszekerheid dat hun manier of voorgenomen manier van werken, met de gedefinieerde gevolgen, voor de fiscale administratie aanvaardbaar is; en zullen worden belast aan een goedgekeurde fiscale heffing of dat de voorgenomen handelingen fiscaal als kosten mogen worden afgetrokken.
Hierbij kan bijvoorbeeld worden gedacht aan de betaling van royalties of licentiegelden aan een IP-vehicle (een zogenaamde SPV) dat gevestigd is in een land waar dergelijke inkomsten lager of helemaal niet worden belast.
M.a.w. de fiscale ruling, een overeenkomst tussen 2 partijen die juridisch een mogelijk toekomstig geschil vastlegt en regelt, heeft in essentie de (financiële) belangen van de belastingplichtige op het oog.
De privacy ruling
De bedoeling van de auteurs van het wetsvoorstel is om het idee van de fiscale ruling toe te passen op (voorgenomen) verwerkingen van persoonsgegevens door verwerkingsverantwoordelijken.
In tegenstelling tot de fiscale ruling heeft men in het geval van een privacy ruling niet twee maar minstens drie te betrekken partijen (zie bijvoorbeeld ook punt 6 en punt 8 van het advies van de GBA 12/2026), te weten:
- de verwerkingsverantwoordelijke en zijn verwerker(s);
- de natuurlijke persoon of personen wiens persoonsgegevens worden verwerkt; en
- een controle orgaan, namelijk de GBA als hoogste gegevensbeschermingsautoriteit.
Met een privacy ruling zou een mogelijk toekomstig geschil met de GBA en al haar diensten inzake het verwerken van persoonsgegevens voor de verwerkingsverantwoordelijke worden vermeden.
Bij deze overeenkomst is de persoon of zijn de personen wiens persoonsgegevens worden verwerkt echter niet betrokken.
Aangezien de derde partij, nl. de natuurlijke personen wiens persoonsgegevens worden verwerkt, bij deze overeenkomst niet wordt betrokken rijst de vraag of een dergelijke ruling wel compatibel is met de bepalingen en de geest van de GDPR?
Het advies van de GBA
In haar advies 12/2026 en toegevoegd bij het wetsontwerp met het nummer 56K-0218-002 haalt de GBA verschillende argumenten aan waarom een privacy ruling niet compatibel is met de bepalingen en de geest van de GDPR.
De argumenten en de artikelen van de GPDR waarnaar de GBA verwijst zijn in essentie gebaseerd op de overwegingen 10 tot en met 13, en overweging 129 van de GDPR.
Kort samengevat handelen deze overwegingen over de wens van de Europese wetgever om, in tegenstelling tot de voorheen van toepassing zijnde EU Richtlijn 95/46 die iedere lidstaat moest omzetten in nationaal recht, te zorgen voor uniformiteit inzake de verwerking, controle en sancties op verwerkingen van persoonsgegevens binnen de Europese Economische Ruimte (EER).
Door het eenzijdig invoeren van een privacy ruling zal het doel en de geest van de GDPR teniet worden gedaan.
Temeer omdat de natuurlijke personen wiens persoonsgegevens door de verwerkingsverantwoordelijke worden verwerkt geen verhaal meer zullen hebben tegen de verwerkingsverantwoordelijke (zie punt 18 van het advies).
punt 18 van het advies 12/2026:
” Door aan de beoogde voorafgaande beslissingen een bindend karakter toe te kennen ten aanzien van de Gegevensbeschermingsautoriteit en daardoor zowel de Inspectiedienst, de Eerstelijnsdienst als de Geschillenkamer van de Autoriteit te binden − die gedurende ten minste vijf jaar geen inspectie meer zouden kunnen instellen, geen bemiddeling zouden kunnen opstarten en geen sanctie zouden kunnen opleggen met betrekking tot een gegevensverwerking die het voorwerp heeft uitgemaakt van een voorafgaande beslissing − is het wetsvoorstel in strijd met artikel 23 van de AVG, aangezien het de betrokkenen het recht ontneemt om met betrekking tot deze gegevensverwerkingen een klacht in te dienen bij de Autoriteit, terwijl artikel 77 van de AVG niet behoort tot de bepalingen waarvan de uitoefening kan worden beperkt. ”
Anders gezegd, de GBA argumenteert met haar advies o.a. dat personen wiens persoonsgegevens worden verwerkt niet meer in staat zullen zijn om hun basisrechten t.o.v. de verwerkingsverantwoordelijke uit te oefenen, en daardoor in hun grondrechten worden gefnuikt.
Het advies van de Raad van State
Ook het advies van de Raad van State (56K-0218-003) gaat in dezelfde richting als het advies van de GBA.
Naar de mening van de RvS hebben de initiatiefnemers van het voorstel de regeling voor privacy rulings niet goed afgestemd op de bevoegdheden en taken die de GDPR aan de GBA heeft toegewezen opdat persoonsgegevens in alle lidstaten een gelijkwaardig beschermingsniveau zouden genieten.
Zij meent zelfs dat een dergelijke afstemming moeilijk tot stand is te brengen omdat het voorstel zodanig ruim is opgevat dat ze de grenzen van een eenvoudige aanvullende bevoegdheid voor de GBA overschrijdt (zie punt 9 van het advies).
Kortom, zowel de GBA als de Raad van State wijzen het wetsvoorstel in hun huidige vorm af.
Opmerkingen
De GDPR in haar huidige vorm is in 2016 tot stand gekomen ter vervanging van de EU Richtlijn 95/46, die zoals alle EU richtlijnen in nationaal recht moest worden omgezet.
Dit had tot gevolg dat er verschillen ontstonden tussen de verschillende lidstaten.
Om die verschillen te vermijden en een uniforme toepassing te kunnen garanderen voor de bescherming van de rechten en vrijheden van de burgers heeft de Europese wetgever ervoor gekozen om de GDPR als verordening in te voeren (OW 13).
Deze verordeningen zijn rechtstreeks van toepassing in de lidstaten, en vereisen geen bijkomende rechtshandeling van de nationale regelgever.
De GDPR geeft aan de lidstaten weliswaar bepaalde mogelijkheden om in sommige gevallen af te wijken van sommige bepalingen, voor zover dit geen afbreuk doet aan de rechten van de burgers en de verantwoordelijkheden van de verwerkingsverantwoordelijken.
Zo laat de GDPR (art. 8.1) bijvoorbeeld toe dat lidstaten de leeftijd van een kind voor het geven van toestemming tot het verwerken van zijn of haar persoonsgegevens voor diensten van de informaticamaatschappij wordt teruggebracht tot 13 jaar, terwijl dit standaard 16 jaar is.
Deze mogelijkheid die door de GDPR zelf wordt toegekend belet echter niet dat er een consequent toezicht en een eenvormige handhaving van de bepalingen van de GDPR in de lidstaten moet zijn en dat alle toezichthoudende autoriteiten dezelfde taken en feitelijke bevoegdheden moeten hebben (OW 129).
De invoering van bindende privacy ruling (zie Wetsvoorstel art. 8 tot invoeging van art. 62/4) zou daarom indruisen tegen de bedoeling van de Europse wetgever doordat daarmee geen rekening wordt gehouden met OW 129, namelijk dat een juridisch bindend besluit aanvechtbaar moet zijn.
OW 129:
” …. De vaststelling van juridisch bindende besluiten impliceert de mogelijkheid tot rechterlijke toetsing in de lidstaat van de toezichthoudende autoriteit die het besluit heeft vastgesteld. “
Bovendien zou een bindende privacy ruling o.a. de taken van de GBA zoals voorzien in art. 57 kunnen belemmeren en de mogelijkheid van de GBA kunnen beknotten om de meningen van de betrokkenen of hun vertegenwoordigers te vragen, zoals is voorzien in art. 35.9 wanneer een voorgenomen verwerking van persoonsgegevens een DPIA vereist.
De vraag rijst hoe de auteurs van het wetsontwerp hun tekst kunnen aanpassen zodat het compatibel is met o.a. de bepalingen van de GDPR en art. 22 van de Grondwet dat zegt dat eenieder recht heeft op eerbiediging van zijn privé- en gezinsleven en dat de wetgever dit recht moet waarborgen?
Bloep, 13 september 2026.
OPGELET: deze blog is geen juridisch advies. De verwerking van persoonsgegevens is vaak een case-by-case verhaal, en dient daarom ook op die basis te worden beoordeeld. Aarzel daarom niet om contact op te nemen om uw specifieke situatie te bespreken via ons Contact Formulier.