Op 1 september 2026 treedt de Verzamelwet gegevensbescherming in werking. Die wijzigt de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG)AVG en tien andere wetten. Het eerste deel van de wijzigingen kunt u lezen in deel 1 van deze blog over nieuwe leeftijdsgrenzen voor minderjarigen, verplichte publicatie van AP-sancties, een smallere uitzondering voor biometrie en een nieuwe regeling voor medische dossiers. In deze blog de overige gewijzigde wetten, inclusief het ene onderdeel dat juist níét in werking treedt.
Medische dossiers mogen kosteloos en zonder toestemming over (art. 30a en 30b UAVG)
Twee nieuwe artikelen lossen een langlopend knelpunt op. Bij praktijkbeëindiging, overlijden van een hulpverlener of faillissement van een zorgaanbieder was onduidelijk op welke grondslag patiëntdossiers mochten worden overgedragen aan een partij die de bewaarplicht van artikel 7:454 lid 3 BW overneemt.
Artikel 30a regelt dat voor hulpverleners zowel het overdragen als het bewaren en beheren door een ander, valt onder artikel 30 lid 3 onder a UAVG. De betrokkene wordt geïnformeerd en gewezen op zijn rechten. Is informeren onmogelijk of belet het beroepsgeheim dit, dan volstaat tijdige en brede kenbaarheid in algemene bewoordingen. De overdracht is kosteloos (amendement-Bushoff) en mag zonder toestemming van de patiënt (art. 7:457 lid 1 BW). Artikel 30b doet hetzelfde voor overdracht door een niet-hulpverlener, zoals een curator of erfgenaam. Leg dit vast in uw overdrachts- en verwerkersovereenkomsten.
Curatoren en bewindvoerders krijgen eindelijk een grondslag
Drie nieuwe artikelen in de Faillissementswet geven curatoren en bewindvoerders een expliciete verwerkingsgrondslag: artikel 68a voor de curator, artikel 215b voor de bewindvoerder bij surseance en artikel 316a voor de Wsnp-bewindvoerder. Elk artikel somt de taken op waarvoor mag worden verwerkt. Van oorzakenonderzoek en verslaglegging tot het voorbereiden van een verkoop en het geven van inzage aan derden in een dataroom.
Belangrijk detail: bijzondere categorieën, strafrechtelijke persoonsgegevens en identificatienummers mogen alleen worden verwerkt voor specifiek aangewezen taken. Bij de curator de onderdelen a, c, f, h, i en j van artikel 68a lid 2. Documenteer dus per verwerking welke taak de grondslag draagt.
Banken mogen transacties geautomatiseerd blokkeren (art. 3:17 Wft)
Aan artikel 3:17 Wft worden twee leden toegevoegd. Banken en betaalinstellingen moeten beschikken over procedures voor het monitoren en analyseren van betalingstransacties en mogen daarbij geautomatiseerd besluiten een transactie te blokkeren of op te schorten. Voorwaarden: de blokkering berust op een afwijkend individueel transactiepatroon, de instelling onderzoekt de transactie daarna onverwijld door menselijke tussenkomst en de cliënt kan zijn standpunt kenbaar maken.
Dit is een wettelijk verankerde uitzondering op artikel 22 AVG. Nadere regels over gegevensanalyse, beveiliging en integriteit volgen bij Algemene Maatregel van Bestuur (AMvB). Die is nog niet gepubliceerd. Houd hem in de gaten voor de concrete inrichtingseisen.
En verder
- Archieven (art. 45 UAVG): de uitsluiting van de artikelen 15 (inzage), 16 (rectificatie en aanvulling), 18 lid 1 onder a (beperking) en 20 (overdraagbaarheid) AVG geldt niet langer alleen voor archiefbewaarplaatsen onder de Archiefwet 1995, maar ook voor blijvend bewaarde collecties van algemeen belang bij publiek gefinancierde non-profitinstellingen.
- Tijdelijke commissies (nieuw art. 47a UAVG): commissies en adviescolleges voor bepaalde tijd krijgen een grondslag, mits het instellingsbesluit de taak van algemeen belang, het doel, de verwerkingsverantwoordelijke en de maximale bewaartermijn vermeldt. Vóór opheffing volgt een verantwoordingsverslag.
- Definitie strafrechtelijke gegevens (art. 1 UAVG): een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag valt niet langer per definitie onder persoonsgegevens van strafrechtelijke aard.
- Autoriteit Persoonsgegevens: wordt aangewezen als nationaal controleorgaan onder de Europol-verordening (art. 35 Wpg). Het College voor de Rechten van de Mens valt voortaan mede onder de uitzondering van art. 23 UAVG.
- Verkeersboetes (art. 181 en 182 WVW, art. 5, 5a en 5b Wahv): de eigenaar of houder van een voertuig mag persoonsgegevens -inclusief strafrechtelijke- over de bestuurder verwerken voor het verhaal van de boete of sanctie.
- Rechtsbijstand en vreemdelingen (art. 9 en 10 Wrb, art. 107 Vw 2000): nieuwe grondslagen voor de Raad voor Rechtsbijstand en voor het gebruik van BSN en vreemdelingennummer, plus een verstrekkingsgrondslag richting aangewezen begeleidingsorganisaties.
- Toezicht op accountants (art. 63aa Wta): nieuwe grondslag voor bijzondere categorieën persoonsgegevens bij naleving van en toezicht op de Wta en Verordening (EU) nr. 537/2014.
Daarnaast zuiver technische reparaties in onder meer de Wjsg en de Wmg, waaronder het schrappen van verwijzingen naar de Wet raadgevend referendum, het CBP en de Wbp.
Eén onderdeel treedt níét in werking: art. 23a UAVG
Het nieuwe artikel 23a UAVG zou het verbod op het verwerken van bijzondere categorieën persoonsgegevens buiten toepassing verklaren voor wettelijk voorgeschreven accountantsopdrachten, met een verplichting tot doorlopende pseudonimisering van gegevens die onder het medisch beroepsgeheim vallen of hebben gevallen. Dat onderdeel is uit het inwerkingtredingsbesluit gehouden, omdat het aanvulling behoeft, onder meer vanwege zorgen, geuit door de NBA, over de controleerbaarheid van de zorgsector. Aan een separaat wetsvoorstel wordt gewerkt.
Let op: het nieuwe artikel 57 Wet op het accountantsberoep treedt wél op 1 september 2026 in werking, maar verwijst naar het uitgestelde artikel 23a UAVG. Tot de aanvullingswet is aanvaard blijft de grondslag voor accountants dus onvolledig. Voor strafrechtelijke persoonsgegevens geldt overigens wel al de nieuwe grondslag van artikel 33 lid 5 UAVG.
Wat betekent dit voor uw organisatie?
Vier acties zijn voor vrijwel iedere organisatie relevant:
- Actualiseer uw toestemmings- en verzoekprocessen op de nieuwe leeftijdsgrenzen van 12 en 16 jaar.
- Toets elke biometrische toepassing aan het aangescherpte artikel 29 UAVG en leg de uitkomst vast.
- Neem de verplichte publicatie van AP-sancties en het venster van tien werkdagen op in uw incident- en escalatieprotocol.
- Werk uw verwerkingsregister, privacybeleid en interne handreikingen bij op de gewijzigde artikelen.
Werkt u in de zorg, als curator of bewindvoerder, bij een bank of bij een overheidsorganisatie die commissies instelt? Dan komen daar de sectorspecifieke punten hierboven bij.
Hulp nodig?
AVG Juristen helpt u de gevolgen van deze wijzigingen in kaart te brengen en uw documentatie, processen en overeenkomsten tijdig aan te passen. Neem contact op via 030 785 27 91 of kantoor@avgjuristen.nl.
Dit artikel is een hulp. Het bericht wordt met aandacht samengesteld, maar aan de informatie kan geen enkel recht worden ontleend.
