Privacywaakhonden en andere autoriteiten moeten strenger optreden tegen partijen die de Europese privacywetgeving met een korreltje zout nemen. 70 procent vindt dat toezichthouders strenger moeten optreden om naleving van de AVG af te dwingen. Als ze dreigen met hoge boetes, is de kans het grootst dat bedrijven de privacywetgeving naleven.
Dat blijkt uit een enquête van Noyb, gehouden onder meer dan duizend professionals die zich met gegevensbescherming bezighouden. De peiling, bestaande uit 65 vragen over onder meer AVG-compliance, is uitgevoerd naar aanleiding van Data Protection Day, dat op zondag 28 januari plaatsvond.
‘Niet-naleving lijkt de norm te zijn als het gaat om persoonlijke gegevens’
In mei 2018 trad de Algemene Verordening Gegevensbescherming (AVG) in werking. De hoop was dat bedrijven en organisaties onze privacy beter zouden respecteren. Of zoals Noyb het verwoordt: “De AVG beloofde een verschuiving van de huidige ‘soft-touch’ benadering van gegevensbescherming naar serieuze handhaving.”
Daar is volgens de Oostenrijkse privacyvereniging geen sprake van. Uit een recente enquête blijkt dat de meeste deelnemers ervan overtuigd zijn dat de invoering van de AVG ervoor heeft gezorgd dat de manier waarop bedrijven met onze persoonsgegevens omgaan ‘aanzienlijk is verbeterd’. Desondanks zegt driekwart van de respondenten dat toezichthouders ‘relevante overtredingen’ zouden vinden als ze bij een gemiddeld bedrijf zouden binnenstappen.
“Het is uiterst alarmerend wanneer 74% van de professionals op het gebied van interne gegevensbescherming zegt dat autoriteiten aanzienlijke overtredingen zouden vinden bij een gemiddeld bedrijf. Dergelijke cijfers zouden ondenkbaar zijn als het ging om het naleven van belastingwetgeving of brandveiligheidsvoorschriften. Niet-naleving lijkt alleen de norm te zijn als het gaat om de persoonlijke gegevens van gebruikers”, zo zegt erevoorzitter van Noyb Max Schrems over deze uitkomst.
FG’s worden vanuit verschillende kanten onder druk gezet
In het onderzoek komt verder naar voren dat functionarissen gegevensbescherming (FG’s) onder moeilijke omstandigheden hun werk moeten doen. Ongeveer de helft van hen (46 procent) zegt dat de marketing- en salesafdeling hun onder druk zet om de naleving van de AVG te beperken. Ruim de helft (56 procent) van de ondervraagden geeft aan dat het moeilijk was om de marketingafdeling te overtuigen om aan de Europese privacyregels te voldoen. Bij leveranciers uit het buitenland was dat 51 procent.
Deze bevindingen laten zien dat het voor FG’s, die als interne toezichthouder fungeren, lastig is om hun werk goed te doen. “FG’s worden verondersteld onafhankelijk te zijn en te zorgen voor naleving vanuit het bedrijf. In werkelijkheid melden velen van hen druk van verschillende kanten om bedrijfsbelangen voorrang te geven”, zo zegt Schrems. De European Data Protection Board (EDPB) kwam eerder deze maand tot een soortgelijke conclusie.
Noyb: ‘Dreig met hoge boetes en openbaarheid’
Hoe kan men ervoor zorgen dat FG’s hun werk kunnen doen? Volgens Noyb is daar maar één manier voor: nationale toezichthouders moeten bedrijven en organisaties dwingen om aan de AVG te voldoen, desnoods door te dreigen met hoge bestuurlijke boetes. Twee derde van de respondenten geeft aan dat hun eigen bedrijf voor naleving kiest als de autoriteiten dreigen een boete op te leggen. Toch worden boetes als afschrikmiddel in praktijk niet vaak gebruikt.
Een ander effectief instrument om naleving van de AVG af te dwingen, is openbaarheid. Iets meer dan de helft van de ondervraagden (52 procent) zegt dat het reputatieverlies van een ander bedrijf al een positief effect heeft op de naleving van de AVG door hun eigen bedrijf.
De gebruikelijke aanpak -bedrijven wijzen op hun fouten- is volgens Noyb-erevoorzitter Schrems het minst effectief. Dat geldt ook voor het rechtstreeks bij het bedrijf indienen van klachten. Het formuleren van privacyrichtlijnen voor specifieke sectoren werkt evenmin. Uit de enquête blijkt dat slechts een kwart (23 procent) vindt dat richtlijnen enigszins invloed hebben om naleving van de AVG af te dwingen.
Noyb pleit voor strengere handhaving
“Hoewel het beeld van professionals al alarmerend is, is het nog steeds optimistischer dan de gemiddelde ervaring van betrokkenen”, zo stelt Noyb. De privacystichting weet uit eigen ervaring dat het recht op inzage -vastgelegd in artikel 15 van de AVG- amper wordt nageleefd.
Noyb zegt dat er maar twee oplossing zijn om naleving af te dwingen: strengere handhaving door toezichthouders en meer uitspraken van rechtbanken en gegevensbeschermingsautoriteiten die bedrijven dwingen om hun gegevensverwerking in overeenstemming te brengen met de Europese privacywetgeving. Om dat te realiseren, moeten toezichthouders over een groter budget beschikken.
