De Algemene Verordening Gegevensbescherming (AVG) werkt niet zoals hij hoort te werken. Grote technologiebedrijven zorgen ervoor dat gegevensbeschermingsautoriteiten niet ingrijpen. En als ze dan een boete opleggen, dan sleept de kwestie vaak nog jaren voort omdat techbedrijven in hoger beroep gaan. Tot slot overstelpen advocatenkantoren toezichthouders en rechters met onnoemelijk veel documenten, die veelal uit honderden pagina’s bestaan. Puur om de zaak op te houden.
Dat zegt Max Schrems, de voorzitter van de Oostenrijkse privacystichting Noyb.
Bittere teleurstelling en frustratie
In mei is het precies vijf jaar geleden dat de AVG in werking trad. Het idee achter deze verordening was dat Europese burgers in staat werden gesteld om hun recht op privacy uit te oefenen. De Europese privacywetgeving geeft ze hiervoor allerlei handvaten, waaronder het recht op inzage (artikel 15), recht op rectificatie (artikel 16) en het recht op vergetelheid (artikel 17).
Europese beleidsmakers waren blij met de komst van de AVG, techbedrijven vreesden de nieuwe privacyregels. Maar van die angst is niet veel meer over, zo meent Noyb. “In de praktijk worden gebruikers echter vooral lastiggevallen met cookiebanners en pop-ups die geen andere keuze laten dan ‘ja’ te zeggen. Deze Europeanen die hebben geprobeerd hun recht op gegevensbescherming uit te oefenen, zijn vaak bitter teleurgesteld”, aldus de burgerrechtenbeweging.
Noyb zegt regelmatig berichten te krijgen van gefrustreerde gebruikers over vertraagde procedures en klachten die tot niets leiden.
‘Ierland is zwakke schakel’
De oorzaak van het probleem ligt volgens de stichting bij grote techbedrijven als Meta. Zij slagen erin om Europese privacyregels te omzeilen, wat resulteert in gebrekkige handhaving door nationale toezichthouders. Ook hanteren technologiebedrijven vertragingstactieken waardoor de afhandeling van een zaak jaren op zich laat wachten. “Zelfs de actieve autoriteiten zijn vaak ten einde raad, want de handhaving van de AVG is slechts zo sterk als de zwakste schakel”, vertelt Schrems.
In zijn ogen is de Data Protection Commission (DPC) de zwakke schakel in het verhaal: enerzijds omdat de Ierse toezichthouder uiterst traag te werk gaat, anderzijds omdat de privacywaakhond er een ‘bedrijfsvriendelijke interpretatie’ op nahoudt.
Als voorbeeld noemt Schrems de boete van 390 miljoen dollar voor Meta voor het aanbieden van gepersonaliseerde advertenties zonder de juiste toestemming. Als het aan de Ierse toezichthouder had gelegen, was er nooit een boete opgelegd. Gegevensbeschermingsautoriteiten uit andere Europese lidstaten hebben de DPC hiervoor meerdere malen teruggefloten. Noyb noemde het boetebedrag ‘een cadeautje van 4 miljard euro’.
Slechts 10 procent van alle klachten behandeld
Niet alleen in Ierland, maar ook in andere landen gaat het fout. Zo wacht Noyb al sinds 2019 op een uitspraak van Luxemburgse toezichthouder over het schenden van de Europese privacywetgeving door Amazon. In Duitsland draaien rechtbanken de beslissingen van de privacywaakhonden terug. In Polen mogen klachten enkel digitaal worden ingediend, maar dossiers mogen alleen in Warschau worden gekopieerd. En in Bulgarije negeert de toezichthouder al jaren iedere vorm van communicatie.
Sinds de AVG van kracht is, heeft Noyb in totaal 848 klachten ingediend bij verschillende toezichthouders. Slechts 10 procent van deze klachten is afgehandeld. 764 klachten wachten nog altijd op een inhoudelijke behandeling. Tot slot zijn 15 zaken momenteel in behandeling bij nationale rechtbanken, hetzij omdat de toezichthouder niet binnen de wettelijke termijn een besluit had genomen, of omdat Noyb in hoger beroep is gegaan tegen een uitspraak.
Doorschuiven van privacyklachten
Schrems zegt dat het een kwalijke zaak is dat privacyzaken worden doorgeschoven naar nationale rechtbanken, omdat zij niet over de nodige kennis en expertise over de AVG beschikken. “Beslissingen worden vaak vernietigd wegens vermijdbare procedurefouten. Voor veel gebruikers is een gang naar de rechter financieel niet mogelijk. Advocatenkantoren weten dit en overstelpen autoriteiten en rechtbanken bewust met eindeloze klachten en honderden pagina’s aan stukken”, aldus de voorzitter van de Oostenrijkse privacystichting.
