Het is inmiddels iets meer dan vijf jaar geleden dat de Algemene Verordening Gegevensbescherming (AVG) in werking trad. Die periode stond in het teken van begrijpen, uitleggen en toepassen van de Europese privacywetgeving. De komende vijf jaar gaat de Autoriteit Persoonsgegevens ‘de volgende stap’ zetten om ervoor te zorgen dat naleving van de AVG-regels een tweede natuur wordt voor bedrijven en organisaties. Dat schrijft AP-bestuursvoorzitter Aleid Wolfsen in een opiniestuk.
In de blog blikt Wolfsen terug op vijf jaar AVG. Hij stelt dat we vandaag de dag in een gedigitaliseerde samenleving leven. “Persoonlijke communicatie gaat via mail, app en sociale media. Huishoudens draaien op smart devices. Techbedrijven verdienen hun geld met gepersonaliseerde advertenties. En ook de overheid zet steeds meer algoritmes in”, noemt Wolfsen als voorbeeld.
Digitalisering heeft ons leven leuker en beter gemaakt, maar er zijn ook genoeg voorbeelden te bedenken waarbij het enorm mis ging. Denk aan de vele datalekken, waarbij privacygevoelige gegevens van soms miljoenen mensen tegelijkertijd op straat belanden. Of het gebruik van deepfake-technologie om gênante nepvideo’s van slachtoffers te verspreiden. Of het systeemfalen dat de toeslagenaffaire blootlegde.
Betekent dit dat de AVG heeft gefaald? Zeker niet, zo betoogt Wolfsen. In het begin was het vooral aftasten. “De eerste 5 jaar van de AVG hebben in het teken gestaan van het begrijpen, uitleggen en toepassen van de wet. Bedrijven en overheidsorganisaties hebben grote inspanningen verricht om hun processen op orde te krijgen. Dat kostte het nodige werk en stelde hen voor basale vragen”, zo zegt hij in een opiniestuk.
De Autoriteit Persoonsgegevens heeft dit proces volgens hem begeleid door te adviseren, aan te sturen en handhavend op te treden. De bestuursvoorzitter betoogt dat er in de afgelopen vijf jaar ‘een enorme slag’ is gemaakt en dat veel burgers, bedrijven en overheidsinstanties zich goed aan de wet houden.
De komende vijf jaar wil Wolfsen ‘de volgende stap’ zetten naar ‘een samenleving waarin burgers en anderen zich vanzelfsprekend houden aan de regels’. “Een samenleving waarin bedrijven het gegevensbeschermingsrecht als ‘unique selling point’ inzetten en inzien dat een goede datahuishouding geen kostenpost is, maar bijdraagt aan een efficiënte bedrijfsvoering. Een samenleving waarin overheidsinstanties snappen dat de regels uit de AVG hen helpen om hun taken goed en adequaat uit te voeren.”
Om dat te realiseren gaat de rol van de Autoriteit Persoonsgegevens de komende vijf jaar veranderen. Allereerst wil Wolfsen dat het gegevensbeschermingsrecht ‘de hoeksteen van alle grondrechten’ wordt. Alleen zo kan het burgers beschermen tegen willekeur en discriminatoire besluitvorming. Hij ziet de AP dan ook als “de hoeder van de democratische rechtsstaat”.
“Naarmate digitalisering nog dieper op de levens van burgers ingrijpt en fouten nog grotere consequenties hebben, wordt het nog essentiëler om misstanden te voorkomen”, zo zegt Wolfsen. Daarom gaat de toezichthouder de komende jaren vaker proactief optreden tegen gegevensverwerkingsprocessen (al dan niet tijdelijk) als blijkt dat er iets niet aan de haak is.
“Algoritmes met ‘bias’ leiden tot discriminatie en vergroten de maatschappelijke ongelijkheid, misstanden in geautomatiseerde processen worden vaak te laat onderkend en algoritmische besluiten kunnen ondoorzichtig, oncontroleerbaar en slecht uitlegbaar zijn, wat in strijd is met basale rechtsstatelijke principes”, zo legt de bestuursvoorzitter uit. Daarom gaat de AP als algoritmetoezichthouder kijken hoe algoritmes worden getraind, welke vooroordelen daarin zitten verborgen en hoe verantwoordelijkheden zijn vastgelegd.
