De Europese Raad is maandag akkoord gegaan met een voorstel voor de nieuwe Europese algemene verordening gegevensbescherming. De verordening beschrijft onder meer het recht om vergeten te worden en toegang tot persoonlijke gegevens te krijgen. Er is kritiek op de verordening.
Nu de ministers van Justitie van de lidstaten het eens zijn geworden, kan het voorstel met de Europese Commissie en het Europees Parlement besproken worden. De eerste bespreking staat op 24 juni op de agenda en het doel is om nog dit jaar de verordening definitief te maken.
Aan de privacyverordening wordt al sinds 2012 gewerkt: toen deed de Europese Commissie een eerste aanzet, die in maart 2014 na enkele aanpassingen de steun van het Europarlement kreeg. De Europese Raad zegt nu 'veel van de fundamentele pilaren' van het voorstel overgenomen te hebben. De ministers benadrukken dat bedrijven van buiten Europa aan één stel privacyregels voor de hele EU moeten voldoen en die regels zouden de privacy van inwoners van lidstaten beter beschermen.
Het voorstel voor de verordening beschrijft onder andere het recht om vergeten te worden: bedrijven zouden data op verzoek moeten verwijderen als er geen legitieme reden meer is deze te verwerken of te behouden. In de tekst is echter de uitzondering opgenomen dat uitzonderingen mogelijk zijn op basis van het recht op vrijheid van meningsuiting en de media, zoals krantenarchieven. Bedrijven moeten aantonen dat bewaren van data nog nodig of relevant is.
In het voorstel staat verder dat bedrijven en organisaties die gegevens verwerken verplicht worden de privacy-autoriteit van hun lidstaat zo snel mogelijk in te lichten bij een grote hack, zodat klanten de tijd hebben maatregelen te nemen. Daarnaast is het recht op gegevensportabiliteit opgenomen: klanten moeten hun persoonsgegevens mee kunnen nemen bij een overstap naar een andere provider.
De boeteclausule schrijft voor dat bedrijven een bedrag riskeren van 2 procent van hun jaarlijkse omzet bij inbreuk op de verordening. In andere gevallen kunnen de boetes oplopen tot maximaal 1 miljoen euro.
In aanloop naar de goedkeuring van de tekst was er kritiek van burgerrechtenorganisaties. De Raad zou onder invloed van een lobby van bedrijven de positie van burgers verzwakt hebben. Zo vindt EDRi dat de tekst over gegevensverwerking zo ruim is, dat bedrijven zich te makkelijk kunnen beroepen op een legitiem belang voor het verwerken van de data. Ook Bits of Freedom vond de tekst te veel afgezwakt.