Forse kritiek op naleving AVG, maar is dat wel helemaal terecht?

In 2012 begon een proces dat uiteindelijk, zes jaar later, uitmondde in wetgeving die miljoenen EU-burgers direct aangaat: de General Data Protection Regulation die in Nederland bekendstaat als de Algemene verordening gegevensbescherming, kortweg de AVG.

Vier jaar lang heeft de AVG de kans gehad zichzelf te bewijzen. Als je het aantal boetes in ogenschouw neemt, zou je rustig van een succesverhaal kunnen spreken. Met de handhaving lijkt namelijk niet zo veel mis. Over 2021 legde de AP in totaal zeven privacyboetes op aan onder meer Booking.com en werden eerder ook bedrijven en instanties als Transavia, TikTok en de Belastingdienst beboet.

De AVG werd in het leven geroepen om de privacy van burgers in Nederland en andere ingezetenen van de EU te beschermen. In deze wetgeving is onder meer geregeld dat burgers inzageverzoeken kunnen doen om hun gegevens in te zien die organisaties van hen verzamelen. Die organisaties moeten er op hun beurt voor zorgen dat die gegevens op de juiste manier worden verwerkt. Als organisaties in gebreke blijven volgen er dus sancties. Dat het lukt om vrij hoge boetes uit te delen, is een eerste indicatie dat de privacywet en het toezicht erop in die zin vruchten afwerpen.

Mogelijke risico’s voor burgers

Maar is daarmee de privacy voor (Europese) burgers wel echt gewaarborgd? Er klinkt kritiek uit het privacykamp. De Oostenrijkse privacy-activist Max Schrems, bekend van het Privacyshield, is misschien wel het felst: van een broodnodige cultuuromslag is het na vier jaar nog niet gekomen. “Het grondrecht op gegevensbescherming wordt niet gerespecteerd en wordt niet gezien als het resultaat van een lang democratisch proces, maar wordt bespot als gek of ‘onmogelijk na te leven’. Autoriteiten en non-profitorganisaties die de wet in haar huidige vorm proberen te handhaven, krijgen te maken met openlijke vijandigheid en beschuldigingen, zoals dat handhaving ‘innovatie om zeep zou helpen,” is de argumentatie van de Oostenrijkse privacy-activist.

Eerder was in het Financieel Dagblad te lezen hoe bedrijven zich zorgen maken over de knellende werking van de AVG. Bedrijfsvoering, economische activiteiten en innovatie zouden eronder lijden. (1) Dat komt onder meer, zo is de klacht, omdat de Autoriteit Persoonsgegevens die toezicht houdt op naleving van de AVG te snel handhaaft in plaats van naar een oplossing te zoeken.

En uit een onderzoek van Bits of Freedom onder de tien grootste gemeenten van Nederland is het beeld dat daaruit oprijst niet zo positief. Gemeenten blijken zich onvoldoende aan de AVG te houden. Zo is volgens de digitale burgerrechtenorganisatie de basis in veel gemeenten niet op orde, terwijl er wél overal wordt geëxperimenteerd met datagestuurd werken (2) link naar magazine. Vaak hapert de gegevenshuishouding en moeten burgers te lang wachten als zij een inzageverzoek hebben gedaan. Bovendien is er ook sprake van een capaciteitsprobleem: gemeenten missen gewoonweg slagkracht om de AVG na te kunnen leven.

Ook is er volgens Bits of Freedom een probleem met de verwerkingsregisters. Die zijn niet compleet en actueel. Hierdoor zijn gemeenten onvoldoende op de hoogte over welke gegevens ze verwerken, met welk doel, of die verwerking rechtmatig en veilig is en met wie er wordt samengewerkt. Daardoor is het voor gemeenten niet duidelijk in te schatten wat de risico’s zijn voor de burgers (2)

Bewustzijn is alleen al pure winst

De vraag is, met al deze kritische geluiden, gerechtvaardigd: werkt de AVG wel zoals deze zou moeten werken? Populairder gezegd: is het vierjarige bestaan van de Europese verordening, vaak aangeduid als wet, eigenlijk wel reden voor een feestje? Data&Privacyweb vroeg het aan Menno Weij. Weij, privacy-expert bij accountancykantoor BDO en eerder te horen in de podcast Privacywaakhonden, vindt de AVG een lastige wet. “Het is niet eenvoudig om altijd aan de wet te voldoen, zeker niet als de toezichthouder er streng op toeziet. 100 procent compliance bestaat niet.” De viering van vier jaar AVG gaat wat hem betreft dan ook niet over naleving, maar over het toegenomen bewustzijn in de maatschappij. “Als het om verwerking of bescherming van persoonsgegevens gaat, zie je dat we veel alerter zijn. In alle lagen van de samenleving. Dat is pure winst.” Hij noemt het voorbeeld van ouders die een Whatsapp-groepje willen aanmaken. “Zij vragen zich nu af: kan dat eigenlijk wel als we telefoonnummers moeten verzamelen? Is dat niet te privacygevoelig? Dat soort vragen zijn een goed teken.”

Quirine Tjeenk Willink, advocaat bij Kennedy van der Laan, valt hem op dit punt bij. “Bedrijven zijn zich veel bewuster van het feit dat ze persoonsgegevens verwerken. Dat was pakweg tien jaar echt wel een stuk minder.” Die bewustwording zie je vooral terug in de bestuurskamer, aldus Tjeenk Willink: “De AVG heeft privacy in de bestuurskamer op de agenda gekregen.” En dat is belangrijk, omdat bedrijven op die manier toewerken naar compliance. Maar veel is ook nog onduidelijk over wat er nog moet gebeuren en waar de accenten moeten liggen. “Zo valt in de verhouding met de toezichthouder (de Autoriteit Persoonsgegevens, TR) nog veel winst te behalen.”

Verder, zegt Tjeenk Willink, heeft elke organisatie van enige omvang inmiddels wel een Functionaris Gegevensbescherming. Of een Data Officer. ‘’Voor de AVG hadden we niet kunnen bevroeden dat dit ooit zou gebeuren.” Wel zou je in mijn beleving nog meer efficiëntie aan de voorkant kunnen behalen. In de vorm van privacy by design. “Dat betekent dat je privacy-oplossingen al inbouwt voordat je met processen binnen een organisatie begint.”

Hoe compleet moet de naleving zijn?

Weij is mild gestemd over de omgang met de AVG door gemeenten, die door Bits of Freedom toch behoorlijk door de mangel worden gehaald. Er is steeds meer bewustzijn bij gemeenten dat ze moeten voldoen aan de privacynormen, maar ze missen nu eenmaal slagkracht en capaciteit, aldus Weij. Overigens is dat bij de Autoriteit Persoonsgegevens net zo. “Ik geloof dat de intentie van gemeenten goed is. Maar er gaat wel eens iets mis. Je spreekt dan ook over een waanzinnige hoeveelheid gegevens die moeten worden verwerkt.”

Neem het voorbeeld van het verwerkingsregister, waarin de persoonsgegevens zijn opgenomen. Het opstellen van zo’n register helpt organisaties bij het bijhouden van verwerkte gegevens en is onder de AVG in veel gevallen verplicht. Weij noemt het bureaucratisch geharrewar: “Het gaat fout als je gegevens verwerkt zonder goede grondslag. Maar is het nou zo erg als je verwerkingsregister niet helemaal op orde is, omdat je sommige gegevens niet hebt opgenomen, maar je wel die goede grondslag gebruikt. Het kan zijn dat je wel degelijk goed voor je gegevens zorgt. Hoogstens ben je wat slordig.”

In die zin is het ook volgens Tjeenk Willink helemaal niet zo erg dat het soms fout gaat. Wat haar betreft is de AVG er om bedrijven goed te laten nadenken over wat ze met persoonsgegevens doen: “Dat een verwerkingsregister niet helemaal op orde is, hoeft in dat opzicht geen ramp te zijn. Hoe bedrijven omgaan met de persoonsgegevens, en dat je met sommige persoonlijke dataverwerking stopt als daartoe aanleiding bestaat, is veel belangrijker.” Tjeenk Willink vervolgt: “Bijvoorbeeld bij ziekenhuizen en zorgverzekeraars. Bij medische gegevens wil je natuurlijk wel 100 procent compliance als het over de beveiliging gaat. Onbevoegden mogen niet zomaar toegang hebben tot medische dossiers.”

Gemeenten hebben, net als andere grote organisaties, een Privacy Officer in dienst, de grote steden vaak ook een Functionaris Gegevensbescherming (FG). Die laatste fungeert als een soort onafhankelijke privacytoezichthouder binnen organisaties en rapporteert aan de Autoriteit Persoonsgegevens. Ga er maar aanstaan als je FG bent binnen een gemeente, zegt Weij desgevraagd. “Het is voor een FG ondoenlijk om precies te weten te komen welke gegevens er allemaal worden verwerkt. Dat speelt overigens net zo goed bij bedrijven.”

Eigenlijk zou de focus veel meer moeten liggen op Big Tech. “We kijken kritisch naar gemeenten. En dat is ook goed,” vertelt Weij, “maar we moeten niet uit het oog verliezen dat Facebook, Google en Tiktok tot op de dag van vandaag doorgaan met hun datagraaien en ze daarmee de AVG massaal overtreden.” Zijn oproep: laten we ons concentreren op de echte problemen.

Uit het voorgaande blijkt dat we nog lang niet over de AVG zijn uitgepraat. Tijdens de

Actualiteitencursus AVG

ontmoeten gelijkgestemden elkaar om meer te leren over de nadere invulling en concrete toepassing van de AVG.

Bekijk hier wanneer mr. Thomas van Essen (Solv) de eerstvolgende editie verzorgt.