- Burgers en bedrijfsleven hebben meer oog voor bescherming persoonsgegevens
- Veel onduidelijkheid over interpretatie en toepassing AVG
- Drie casussen waarin de AVG obstakels opwierp
- Autoriteit Persoonsgegevens moet AVG beter uitleggen
- Ook EDPB moet zijn verantwoordelijkheid nemen
- ‘Politiek moet harmonisatie in Europa nastreven’
De Algemene Verordening Gegevensbescherming (AVG) heeft een positief maatschappelijk effect. Overheidsinstanties, het bedrijfsleven en burgers hechten meer waarde aan de bescherming van persoonsgegevens. Tegelijkertijd bestaat er veel onduidelijkheid over de interpretatie en handhaving van de privacyregels. Instanties zijn bang dat ze de regels niet juist hanteren en dat ze zodoende hoge boetes riskeren bij vermeende overtredingen.
Dat schrijft Tobias van Gent, Kamerlid voor de VVD, in een brief aan de Tweede Kamer.
Burgers en bedrijfsleven hebben meer oog voor bescherming persoonsgegevens
In juli 2020 werd hij door de vaste Kamercommissie voor Justitie en Veiligheid benoemd tot rapporteur voor de AVG. Van Gent kreeg de opdracht om de positieve bijdragen en knelpunten van de Europese privacywet in kaart te brengen. Hoofdvraag van zijn onderzoek was of de geconstateerde obstakels voortvloeien uit de AVG, of dat ze het gevolg zijn van hoe de regels in ons land worden toegepast. Zijn bevindingen heeft hij in een rapport samengebracht. Dit stuk overhandigde hij afgelopen week aan de Tweede Kamer.
Van Gent concludeert dat de introductie van de AVG in mei 2018 heeft geleid tot meer bewustwording van het belang van de bescherming van persoonsgegevens. In zijn ogen loopt Europa voorop in de wereld als het gaat om gegevensbescherming van haar burgers. De voortschrijdende digitalisering van de samenleving zorgt ervoor dat dit in de toekomst nog belangrijker wordt.
Veel onduidelijkheid over interpretatie en toepassing AVG
Inmiddels is het bijna drie jaar geleden dat de AVG in werking trad. De ‘wittebroodsweken’ liggen dus al geruime tijd achter ons. Deze gewenningsperiode heeft echter niet kunnen voorkomen dat de Europese privacywetgeving tweede natuur is geworden. Bij verschillende bedrijven, overheden en organisaties lijdt de wet tot veel rechtsonzekerheid. Organisaties vragen zich af of ze de regels goed hanteren. Ook is er angst voor torenhoge boetes als ze de regels mogelijk overtreden.
Volgens Van Gent worstelen publieke en private partijen met de vraag hoe de AVG geïnterpreteerd en toegepast moet worden. Daar heeft hij alle begrip voor, maar . “Gegeven de complexiteit van de verordening, de mate waarin de regelgeving op vele niveaus van het publieke leven ingrijpt en het feit dat de AVG ‘pas’ sinds mei 2018 van toepassing is, is dat op zich niet onbegrijpelijk, maar tegelijk brengt dit ontegenzeggelijk veel onzekerheid met zich mee voor burgers, organisaties en bedrijfsleven”, zo schrijft de AVG-rapporteur.
De experts die Van Gent heeft gesproken denken dat de leemtes binnen de AVG in de toekomst zullen verdwijnen. Ze worden naar verwachting opgevuld door jurisprudentie en aanvullende (sectorale) wetgeving. Nadeel daarvan is dat deze wetgeving op gespannen voet kan staan met de Europese harmonisatie van wetgeving. “Veel privacyschendingen stoppen niet bij de grens en op een gemeenschappelijke markt is het belangrijk dat er sprake is van een gelijk speelveld”, merkt Van Gent op.
Drie casussen waarin de AVG obstakels opwierp
Van Gent is tot deze conclusie gekomen door tientallen formele en informele gesprekken met privacyexperts, wetenschappers en juristen in binnen- en buitenland. Daarnaast heeft hij drie casussen grondig bestudeerd die inzage geven in de impact die de AVG in praktijk heeft: het verwerken van camerabeelden van amateurspelers bij VoetbalTV, het verwerken van medische dossiers en persoonsgegevens bij kankeronderzoek, en de ontwikkeling van CoronaMelder.
Omdat er nog gerechtelijke procedures lopen, doet de AVG-rapporteur geen inhoudelijke uitspraken over VoetbalTV. Wel plaats hij vraagtekens bij het verloop van het proces. Zo heeft de Autoriteit Persoonsgegevens de drie-stappen-toets nog steeds niet uitgevoerd, ondanks dat de rechtbank deze opdracht meegaf aan de toezichthouder. Daarnaast zijn er vergelijkbare initiatieven in Europa die wel geoorloofd zijn.
Artsen vinden dat de AVG aanzienlijke obstakels opwerpt bij medisch-wetenschappelijk onderzoek. Het was beter geweest als de privacywetgeving de relatie tussen bescherming van privacy en onderzoek beter had geregeld. “De AVG zorgt voor een grijs gebied, waarbij verschillende partijen een sterk wisselende uitleg geven met betrekking tot de (on)mogelijkheden van data-uitwisseling”, aldus Van Gent. Ook is er veel angst voor boetes en reputatieschade, wat het onderzoek afremt.
De ontwikkeling van CoronaMelder laat volgens de AVG-rapporteur goed zien dat de hoofdrolspelers de Europese privacywetgeving op uiteenlopende wijzen interpreteren. Deels is dit opgevangen met de invoering van de Tijdelijke wet notificatie-applicatie COVID-19, “maar toch blijft het beeld hangen dat ook in een in het oog springende casus als deze voor wat betreft de persoonsgegevensaspecten nog geen sprake is van een uitgekristalliseerde consensus over hoe de AVG uit te leggen en toe te passen, een consensus waarbij betrokken partijen elkaar soepel vinden”.
Autoriteit Persoonsgegevens moet AVG beter uitleggen
Om meer duidelijkheid te scheppen en stabiele verwachtingen te wekken, is er volgens Van Gent een belangrijke rol weggelegd voor de Autoriteit Persoonsgegevens. Het is de taak van de toezichthouder om uit te leggen wat wel en niet is toegestaan.
Van Gent schetst twee aandachtspunten om dit te realiseren. Allereerst moet het als een paal boven water staan dat de toezichthouder voldoende capaciteit en financiële middelen heeft om haar taken te vervullen. Daar is volgens bestuursvoorzitter Aleid Wolfsen geen sprake van: hij wil dit jaar het aantal medewerkers verdubbelen. Om dat mogelijk te maken verhuist de toezichthouder in de loop van het jaar naar een pand aan de Lange Voorhout in Den Haag.
In de tweede plaats is het volgens Van Gent noodzakelijk om kritisch na te denken over ‘ongewenste rolvermenging’ van de Autoriteit Persoonsgegevens. “Schuurt het niet dat de onafhankelijke toezichthouder zowel als voorlichter (‘meedenker’) en kennisinstituut, maar tegelijkertijd ook als scheidsrechter, handhaver en boeteoplegger optreedt?”, zo vraagt hij zich hardop af.
Ook EDPB moet zijn verantwoordelijkheid nemen
Naast de nationale toezichthouders moet ook de European Data Protection Board (EDPB) zijn beste beentje voor zetten. Door het formuleren van richtsnoeren, aanbevelingen en best practices moet de belangenorganisatie een bijdrage leveren aan het interpreteren van de AVG. Ook bij grensoverschrijdende privacykwesties moet de EDPB haar juridische en technische kennis beschikbaar stellen.
‘Politiek moet harmonisatie in Europa nastreven’
De slotsom is dat de AVG tot een grotere bewustwording van de bescherming van persoonsgegevens heeft geleid bij de overheid, het bedrijfsleven en burgers. Tegelijkertijd bestaat er ook veel onzekerheid door de onduidelijkheid over de interpretatie en handhaving van de regels, zowel in Nederland als in andere EU-lidstaten. Dit schuurt soms met het algemeen belang, bijvoorbeeld bij medisch-wetenschappelijk onderzoek. “Als politiek hebben we de verantwoordelijkheid om deze onzekerheid en onduidelijkheid zo veel mogelijk weg te nemen en harmonisatie in Europa na te streven”, zo concludeert Van Gent.
