De European Data Protection Board (EDPB) heeft een belangrijke mening uitgebracht over de interpretatie van de Algemene Verordening Gegevensbescherming (AVG), met name over wat als 'hoofdvestiging' van een gegevensbeheerder wordt beschouwd. De mening werd verzocht door de Franse toezichthoudende autoriteit. De Franse autoriteit persoonsgegevens vroeg de commissie om advies bij de vraag of het ‘one-stop-shop’ mechanisme toepasselijk was. De mening is van belang voor het bepalen van de locatie van het centrale bestuur van een gegevensbeheerder in de Europese Unie.
Allereerst maakt de EDPB duidelijk dat de AVG ‘forum shopping’ niet toestaat bij het identificeren van een "hoofdvestiging" in de EU (1). Het aanwijzen van een hoofdvestiging moet gebaseerd zijn op objectieve criteria in plaats van een subjectieve benoeming. Dit benadrukt de noodzaak voor organisaties om een duidelijke en verifieerbare basis te hebben voor het aanwijzen van hun hoofdvestiging binnen de EU.
Ten tweede wordt de betekenis van "hoofdvestiging" van een organisatie, zoals geïnterpreteerd in andere gebieden van het EU-recht, besproken. Dit wordt algemeen begrepen als de ‘echte zetel’ van een bedrijf, ofwel het hoofdkantoor van waaruit het centrale beheer en de controle worden uitgeoefend.
De EDPB concludeert enkele kernpunten:
De ‘plaats van centraal bestuur’ van een verwerkingsverantwoordelijke kan kwalificeren als zijn ‘hoofdvestiging’ als aan twee cumulatieve voorwaarden is voldaan: de verwerkingsverantwoordelijke (i) neemt beslissingen over de doeleinden en middelen van verwerking; en (ii) heeft de macht om deze beslissingen uit te voeren.
Het 'one-stop-shop'-mechanisme is alleen van toepassing als er bewijs is dat een van de EU-vestigingen van de verwerkingsverantwoordelijke voldoet aan de twee bovengenoemde voorwaarden.
Als geen van de EU-vestigingen daadwerkelijk beslissingen neemt over de middelen en doeleinden van verwerking, of de macht heeft om die beslissingen uit te voeren - omdat die bevoegdheden buiten de EU worden uitgeoefend - mag er geen ‘hoofdvestiging’ in de EU zijn, en het 'one-stop-shop'-mechanisme zou dan niet van toepassing zijn.
Wat betreft de praktische toepassing van het begrip ‘hoofdvestiging’ door toezichthoudende autoriteiten, valt de bewijslast bij de verwerkingsverantwoordelijken. Ook dragen organisaties de plicht om samen te werken met de autoriteiten bij deze beoordeling. Om hun claim te onderbouwen, kunnen verwerkingsverantwoordelijken vertrouwen op elementen zoals registers van verwerkingsactiviteiten en het privacybeleid.
Autoriteiten behouden de macht om de claim van de verwerkingsverantwoordelijke te betwisten. Dat moet op basis van een objectief onderzoek van de relevante feiten, met de mogelijkheid om tot verdere informatie te verzoeken.
Al en al lijkt de mening een nodige aanvulling te zijn op de criteria voor het toepassen van het ‘one-stop-shop’ mechanisme. Wilt u meer weten over de procedurele regels van de AVG? Bekijk dan hier de cursus actualiteiten AVG en privacy recht.
(1) https://edpb.europa.eu/news/news/2024/edpb-clarifies-notion-main-establishment-and-calls-eu-legislators-make-sure-csam_en
