Articles

Part one - GDPR and Public Law: Applicability of GDPR to public bodies

Part one -GDPR and public law - Applicability of GDPR to public bodies

Part one - GDPR and Public Law: Applicability of GDPR to public bodies

21.05.2019 EU law

Since the GDPR became applicable almost one year ago, multiple questions have arisen about its interaction with other fields of law. In this three-part blog series of “GDPR and Public Law”, we discuss three relevant issues of the interaction of GDPR with public law and government. In this blog we discuss the applicability of GDPR to public bodies.

1. “Public authority” under GDPR

In principle, GDPR equally applies to private and public entities. This is reflected in the definitions of “data controller” and “data processor”, which both refer to “the natural or legal person, public authority, agency or other body…”.

Yet, the scope of the concept of “public authority” is important since some specific deviating provisions apply to public authorities. However, the GDPR does not define “public authority”, leaving this to the Member States. Article 5 of the Belgian Act of 30 July 2018 on processing of personal data (hereinafter “Belgian Data Protection Act”) defines “public authorities” under GDPR as (i) entities subject to the Belgian act of 17 June 2016 on public procurement as well as (ii) legal persons governed by public law and depending on the state. The relevance of this second category is rather limited, since most of these entities are already covered by the first category. In any event, it is interesting to note that the legislator defined “public authority” very broadly, also covering hospitals, mutualities, universities, etc.

2. Specific provisions for public authorities

Various specific provisions apply for public authorities. For example, they must appoint a data protection officer (“DPO”) regardless of the risk of the processing itself (Article 37 GDPR). Furthermore, they cannot rely on their legitimate interests for processing of personal data in the performance of their tasks (Article 6 GDPR).[1] Also, specific provisions apply for authorities that prevent, investigate, detect or prosecute criminal offences or execute criminal penalties (see Directive 2016/680 and the Belgian Data Protection Act).

Most importantly, Article 83 §7 GDPR allows Member States to lay down rules on whether and to what extent administrative fines may be imposed on public authorities and bodies established in that Member State. Article 221 §2 of the Belgian Data Protection Act implements this provision, and states that the administrative fines under the GDPR do not apply to public authorities and their employees or agents, except in case of a legal person governed by public law that offers goods or services on a market. As a result, public authorities are largely exempt from administrative fines, but not from criminal sanctions, other administrative corrective measures (e.g. reprimands, orders, etc.) and judicial review. Whether administrative fines apply, therefore depends on the capacity in which a public authority is operating, with administrative fines remaining applicable for public authorities competing with private actors.

The Federation of Belgian Enterprises (Verbond van Belgische Ondernemingen Fédération des Entreprises de Belgique) has filed an application for annulment with the Constitutional Court, claiming that this Article 221 §2 amounts to an unjustified discrimination. The Council of State previously stated that the repressive measures in the public sector should be at least comparable to those in the private sector.[2] It nevertheless acknowledged a risk of jeopardizing the continuity of public services if fines of up to EUR 20 million can be imposed on the public sector. Therefore it finds specific maxima ceilings for the public sector acceptable. The Belgian Data Protection Authority preferred equal treatment in terms of enforcement in its Opinion, considering that a difference would be difficult to justify.[3] A ruling by the Constitutional Court is expected in 2020.

To be continued …

 

Footnotes:

  1. Nevertheless, Article 6, para. 1, (e) GDPR provides a specific lawful basis for such processing, i.e.: “processing necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller”.
  2. Opinion no. 63.192/2 of 19 April 2018, http://www.raadvst-consetat.be/dbx/adviezen/63192.pdf.
  3. Opinion no. 33/2018 of 11 April 2018, https://www.gegevensbeschermingsautoriteit.be/sites/privacycommission/files/documents/advies_33_2018.pdf.

Team

Related news

10.08.2020 NL law
Geelgroen huis in Den Helder in ernstige mate in strijd met de redelijke eisen van welstand

Short Reads - In de gemeentelijke welstandsnota staan criteria waaraan het uiterlijk van bestaande en nieuw te bouwen woningen dienen te voldoen: de redelijke eisen van welstand. Voor bestaande woningen geldt dat zij niet in ernstige mate in strijd mogen zijn met deze eisen. Welstandsexcessen zijn met andere woorden uitgesloten. In de uitspraak van de Afdeling van 15 juli 2020 was de vraag aan de orde of een geelgroen geverfde woning in Den Helder terecht als een dergelijk welstandsexces is aangemerkt.

Read more

29.07.2020 NL law
Over temperaturen ten tijde van corona

Articles - Met haar standpunt ten aanzien van het meten van temperaturen van werknemers, geeft de Autoriteit Persoonsgegevens (AP) verduidelijking over de reikwijdte van haar toezicht. Deze nuancering houdt in dat, als er geen sprake is van verwerking van persoonsgegevens, de AVG niet geldt en de AP dus niet handhavend kan optreden.

Read more

10.08.2020 NL law
Het NOW register: openbaarmaking van gegevens van ontvangers van de NOW-subsidie

Short Reads - Het UWV heeft op verzoek van de minister van Sociale Zaken en Werkgelegenheid een register gepubliceerd met informatie over werkgevers die de NOW-1 subsidie hebben ontvangen. De publicatie van dit register komt niet geheel als een verrassing. De NOW-1 bevat immers een bijzondere bepaling over openbaarmaking van de desbetreffende gegevens.

Read more

05.08.2020 NL law
ACM is verplicht om het besluit waarin zij afziet tot oplegging van een boete te publiceren

Short Reads - De Instellingswet Autoriteit Consument en Markt (Instellingswet ACM) verplicht de ACM om een besluit waarbij een ernstige overtreding (zoals overtreding van het kartelverbod) is geconstateerd, maar waarbij is afgezien van het opleggen van een boete toch openbaar te maken. Een dergelijk besluit beschouwt het CBb als een beschikking tot het opleggen van een bestuurlijke sanctie in de zin van artikel 12v van de Instellingswet ACM. Dat oordeelt het CBb in haar uitspraak van 18 februari 2020 (ECLI:NL:CBB:2020:92).

Read more

27.07.2020 NL law
Maatwerk bij ontvankelijkheidsbeslissingen

Short Reads - Kent u een termijn die de ontvankelijkheid van een bezwaar of beroep bepaalt en niet in de wet is te vinden? Je zou hopen dat zo’n termijn niet bestaat. Ontvankelijkheid bepaalt immers de toegang tot de rechter en die toegang moet niet belemmerd worden door onbekende of slecht kenbare fatale termijnen. Toch kent ons recht zo’n termijn en die termijn is bovendien zeer kort. Ik doel op de twee weken die een belanghebbende wordt gegund om alsnog bezwaar te maken, nadat hij op de hoogte is geraakt van het bestaan van een besluit waarvan de bezwaartermijn al is verstreken.

Read more