Twee jaar AVG

Het tweede jaar, met de eerste boetes

Gefeliciteerd met je tweede verjaardag!

De AVG kent inmiddels een aardig lange geschiedenis. De eerste waarschuwingen aan bedrijven gaan al terug tot 2016. De echte introductie van de grootste en allesomvattende Europese privacywet vond echter plaats op 25 mei 2018, vandaag precies twee jaar geleden. Sinds dat moment moeten Europese bedrijven zich houden aan strenge regels voor het verzamelen van data en hebben burgers meer zicht op welke gegevens over hen worden verzameld. Dat gebeurt allemaal onder het waakzame oog van voornamelijk één partij, de Autoriteit Persoonsgegevens (AP). Nu de privacywet vandaag zijn tweede verjaardag viert, is het een mooi moment om de balans op te maken.

2019 was het jaar waarin de AP voor het eerst boetes begon uit te delen voor overtredingen van de privacywet. Volgens de voorzitter van de waakhond, Aleid Wolfsen, gaat het in totaal om een boetebedrag van 'zo'n drie tot vier miljoen euro', en dat zal alleen maar meer worden. Wie op de achterkant van een bierviltje meerekent, komt niet meteen op dat bedrag uit. Tot nu toe zijn drie boetes uitgedeeld waarvan de bedragen bekend zijn, en in totaal ging het daarbij om zo'n 1,7 miljoen. Maar dat zijn niet de enige overtredingen waar de privacywaakhond een boete voor uitdeelde, zegt Wolfsen. Inmiddels zijn al meer boetes uitgedeeld aan bedrijven, maar om verschillende redenen mogen die bedragen niet, of nog niet, bekend worden.

Handhaven en voorlichten

Op de open vraag hoe hij het inmiddels vindt gaan met de AVG antwoordt Aleid Wolfsen meteen positief. “Het gaat de goede kant op', zegt hij tegen Tweakers. 'Ik denk dat we inmiddels een goede balans hebben gevonden.” Hij noemt het woord 'balans' meerdere keren. Hij doelt ermee op de tweeledige doelstelling van de Autoriteit Persoonsgegevens, een organisatie die aan de ene kant voorlichter moet zijn en aan de andere kant handhaver. Over de invulling van die dubbelrol kreeg de AP in de afgelopen jaren veel kritiek. Was het in het eerste jaar van de AVG nog vooral een waakhond die blafte maar weinig beet, bij de eerste boetes werd de organisatie verweten te snel en te hard te oordelen. Verdomd als je beboet, verdomd als je het niet doet.

Toch was de voorzichtige aanpak in dat eerste jaar weloverwogen beleid, zegt Wolfsen. “We hebben bewust gekozen om de eerste twaalf maanden het accent te leggen op informatievoorziening, voorlichting en bijsturing. Het afgelopen jaar hebben we meer invulling gegeven aan de handhaving.”

Bekeuring op de mat

Het afgelopen jaar werden de eerste AVG-boetes uitgedeeldDat laatste klopt zeker. Vorig jaar september viel de eerste AVG-boete op de mat, bij het Haagse Haga Ziekenhuis. Later volgden de Nederlandse tennisbond en een bedrijf dat vingerafdrukken van werknemers verzamelde. Daarnaast werden lasten onder dwangsom opgelegd: voorwaardelijke boetes waarvan er een aantal daadwerkelijk is geïnd, onder andere bij zorgverzekeraars. Uiteraard volgen er meer boetes, zegt Wolfsen. Sterker nog, die zijn al uitgedeeld. Aan wie wil hij niet zeggen, want er lopen nog bezwaarprocedures bij de rechter. Ze vallen in ieder geval binnen de sectoren waarvan de AP heeft gezegd dat die prioriteit hebben.

Wolfsen zegt het als ‘wij-van-wc-eend’, maar hij is niet de enige die tevreden kan terugkijken op de afgelopen periode. Ook kritische partijen zoals Bits Of Freedom zijn niet meteen negatief over de aanpak van de AP - behalve dan over het feit dat de AP volgens iedereen, inclusief de waakhond zelf, fors onderbezet is.

De weg naar het klachtenloket

Eén ding lijkt in ieder geval zeker: het bewustzijn over de AVG is groot. In Nederland lijken bovengemiddeld veel burgers te weten dat er een privacywet is, meer dan in de meeste andere Europese landen. Vorig jaar toonde onderzoek nog aan dat Nederlanders in veel gevallen weten wat hun rechten zijn. Als het bijvoorbeeld gaat om het recht om data op te vragen, aan te passen, of te laten verwijderen zijn Nederlanders beter op de hoogte dan welke andere Europeanen dan ook.

Wolfsen is het daarmee eens. Hij hamert meerdere keren op een onderzoek dat vlak voor de invoering van de AVG werd gehouden over de bekendheid van de wet. Daaruit kwam onder andere naar voren dat van alle Europeanen Nederlanders het best wisten dat er een privacytoezichthouder was en hoe ze die konden bereiken.

Bedrijven

Bedrijven hebben minder moeite de wet te volgen dan vorig jaarBuiten de rechten van burgers is er natuurlijk ook een andere grote groep die van de wet moet weten. Dat zijn de bedrijven zelf. Zij hadden vlak voor de AVG in werking trad een notoir probleem met de wet. Ineens moest iedere 'slager om de hoek' zich druk gaan maken over privacy. Was dat niet wat veel gevraagd? De kennis over de privacywet was vorig jaar nog erg beperkt. Onderzoeken stelden dat men nog steeds niet ‘klaar was’ voor de wet. Na twee jaar begint dat een klein beetje de goede kant op te gaan.

Wolfsen erkent dat de privacywet voor veel bedrijven nog steeds een obstakel is. “Die slager om de hoek heeft een mooi ambacht, is heel goed in wat hij doet, maar moet zich nu ineens voor zijn klantenbestand bezighouden met de AVG. Dat is nog steeds lastig voor hem.” Wolfsen ziet wel wat verbetering, bijvoorbeeld in hoe de brancheorganisaties bedrijven helpen. Dat was altijd hoe de AP het bedoelde. De toezichthouder zorgt voor informatievoorziening, maar niet voor ieder bedrijf op individueel niveau.

Dat leidde vorig jaar nog tot veel gedoe. De AP wees bedrijven op hun eigen verantwoordelijkheid voor het interpreteren van de wet, terwijl bedrijven juist hekelden hoe de AP de complexe wet amper uitlegde. Vage termen zoals 'gerechtvaardigde belangen' als grondslag om gegevens te verzamelen kunnen op veel manieren worden geïnterpreteerd.

Die signalen ziet de Autoriteit Persoonsgegevens nu veel minder vaak. “Bedrijven die naar ons wijzen zie je bijna niet meer”, zegt Wolfsen. “De samenwerking met de brancheorganisaties heeft zich nu goed gezet.” Maar, zegt hij, laat er geen misverstand over bestaan: er moet 'op veel plekken nog genoeg gebeuren'. “Met name in het mkb zie ik dat er nog veel moet worden gedaan. Er zijn veel slagen gemaakt, maar er gebeurt ook veel in de sector en de behoefte naar informatie blijft groot.”

Afschrikwekkend effect

Wolfsen zegt dat bedrijven zien dat het menens is, nu er boetes worden uitgedeeld. “We hebben nu de combinatie van voorlichting met handhaving, dus zien bedrijven dat er het risico op een boete is.”

De AP is te onderbezet om boetes echt af te laten schrikkenNadia Benaissa van Bits of Freedom is het niet helemaal met Wolfsen eens. De boetes kunnen weliswaar werken als afschrikmiddel, maar zijn dat niet automatisch. Er zijn dan ook weinig aanwijzingen dat de boetes bedrijven concreet afschrikken om zich te houden aan de wet. “Veel bedrijven denken nog steeds dat ze niet veel risico lopen op een boete”, zegt ze. “Dat komt met name doordat de AP nog niet zo hard optreedt en weinig boetes geeft.” Dat laatste komt volgens Benaissa weer door de onderbezetting van de AP. Het risico op boetes lijkt daarom voor veel bedrijven ingecalculeerd. Hoe groot is de schade van een boete, en hoe groot is het risico dat je er een krijgt? Voor een bedrijf is het een simpele rekensom.

Aan de andere kant ziet Benaissa dat bedrijven zich weliswaar beter aan de AVG houden, maar dat dit vooral vanuit de verplichting wordt gedaan. “Ze missen vaak nog de intrinsieke motivatie om zich aan de wet te houden”, zegt ze.

Platgebeld

In ieder geval weten de bedrijven de AP wel te vinden als ze vragen hebben. Zeker nu de coronacrisis veel aspecten van het werk moeilijker maakt. Door het thuiswerken moest Nederland halsoverkop overstappen naar allerlei privacytools, en proberen bedrijven mee te denken met de pandemiebestrijding door de temperatuur van werknemers op te nemen. “Daar worden we veel over gebeld. Er komen veel vragen over, dus proberen we daar meer informatie over te geven. Dat doen we met bijvoorbeeld een nieuwe Q&A op de website.”

Eindelijk boetes

Wolfsen heeft al meerdere malen gezegd dat boetes ‘er nu echt aan komen’. Al twee jaar voordat de AVG in werking trad en Wolfsen net aan het roer stond was dat hét ding dat de AVG zou veranderen ten opzichte van de toen bestaande Wet Bescherming Persoonsgegevens. Met de AVG kreeg de waakhond eindelijk tanden, voorspelde Wolfsen. Een jaar na de inwerkingtreding was er nog geen enkele boete uitgeschreven. Inmiddels is dat anders. De lijst met wapenfeiten is kort, maar krachtig.

Haga Ziekenhuis: slechte toegang tot patiëntdossiers
Het Haagse Haga Ziekenhuis kreeg in juli van vorig jaar de eerste AVG-boete opgelegd. Het ziekenhuis moest 460.000 euro betalen nadat de toegangsbeveiliging van patiëntendossiers niet voldoende bleek te zijn. Zo werden de toegangslogs niet regelmatig bekeken, en zat er geen tweestapsverificatie op de toegang.

Het ziekenhuis ging later in beroep. Dat deed het niet tegen de boete op zich, maar tegen de hoogte ervan.

Kntlb beboet voor direct marketing
In maart van dit jaar gaf de AP een boete van 525.000 euro aan de Koninklijke Nederlandse Lawn Tennisbond (Knltb). Die had gegevens van leden verkocht aan sponsoren, die de data vervolgens gebruikten voor direct marketing.

Onbekend bedrijf verzamelt vingerafdrukken
De hoogste boete tot nu toe was voor rekening van een niet nader genoemd bedrijf dat de vingerafdrukken van medewerkers verzamelde. De naam van het bedrijf is niet bekend; het had aan de rechter gevraagd anoniem te blijven. Het bedrijf stelde dat werknemers niet verplicht waren hun vingerafdruk af te staan, maar zij zeiden zelf dat er zo'n grote druk op hen werd gelegd dat het daar feitelijk wel op neerkwam.

Wolfsen noemt ook nog een boete bij Uber en een last onder dwangsom bij zorgverzekeraars als AVG-wapenfeiten, maar dat klopt niet helemaal. Zowel de Uber-boete als de voorwaardelijke boete voor de zorgverzekeraars vond plaats voor overtredingen onder de Wet Bescherming Persoonsgegevens, de voorloper van de AVG. Wel werd die last onder dwangsom in het afgelopen jaar verbeurd.

Te streng, of niet streng genoeg

Lang luidde de kritiek op de Autoriteit Persoonsgegevens dat hij niet streng genoeg optrad. Het was een waakhond zonder tanden, hij zou veel blaffen maar niet bijten. Maar inmiddels lijkt de AP juist de andere kant op te zijn gegaan. Sommige uitspraken en boetes van de toezichthouder blijken juist gebaseerd op een erg strenge interpretatie van de wet. Neem de beruchte boete van de Knltb. Die is met 525.000 euro de op een na hoogste die in Nederland werd uitgedeeld, voor een feit waarvan juristen dachten dat het wel mocht.

De boetes geven invulling aan termen die lange tijd niet duidelijk warenDe Knltb verkocht de gegevens van leden door voor direct marketing. Onder de AVG is direct marketing een ‘gerechtvaardigd belang’ en één van zes geldige redenen om gegevens te verwerken. De Knltb beriep zich op die grondslag, maar de AP was het daar niet mee eens. Ook in het geval van het Haga Ziekenhuis leek de AP in eerste instantie meedogenloos. Het ziekenhuis was al gewaarschuwd dat het 'beter moest loggen' en voerde dat ook als verandering door. Het deed dat blijkbaar niet goed genoeg, want het liep nog steeds tegen een boete aan.

'Terechte boetes'

Wolfsen weerspreekt dat de AP te streng optrad. “Bij de Knltb ging het helemaal niet om direct marketing, maar om datahandel. De gegevens werden doorverkocht.” Hij wil niet te veel ingaan op alle specifieke gevallen, maar ook het Haga Ziekenhuis ging volgens hem duidelijk over de streep. “Soms heb je een verschil over normen, of je bij wijze van spreken 20 of 22 keer iets moet loggen. Daar zijn we normaal gesproken best mild over. Maar het Haga Ziekenhuis acteerde zo evident onder de norm, dat was gewoon niet goed.”

Ook bij de recordboete van het vingerafdrukscannende bedrijf liep het proces anders dan normaal. Waar Wolfsen vorig jaar nog zei dat de AP bedrijven meestal eerst een brief zou sturen, zou bellen of op een andere manier zou waarschuwen, is dat bij dit bedrijf niet gebeurd. In het boetebesluit staat hoe de AP onaangekondigd binnenviel bij het bedrijf en direct een boete uitdeelde. Is de tijd van waarschuwen voorbij? Wolfsen denkt van niet. “Dit bedrijf ging fors over de schreef. Wat ze deden gebeurde op zo'n grote schaal en ging ook nog eens over biometrie. Als dat bij een waarschuwing was gebleven, had niemand dat serieus genomen.”

Aandachtsgebieden

De boetes tot nu vallen in de aandachtsgebieden van de APDe boetes van de AP vallen stuk voor stuk binnen het voorgestelde beleid van de waakhond. In november vorig jaar kondigde de AP aan meer focus te gaan geven aan een aantal ‘aandachtsgebieden’: zorggegevens, datahandel, data bij de overheid, en kunstmatige intelligentie. In die eerste twee categorieën zijn nu flinke boetes gevallen: die van het Haga Ziekenhuis, en bij zorgverzekeraars. Wolfsen kijkt tevreden terug op die boetes. Vorig jaar, toen hij aangaf dat de boetes eraan kwamen, zei hij dat ze rechtvaardig zouden zijn. Boetes waarvan mensen volgens Wolfsen zouden zeggen: ‘Het is goed dat de AP daartegen optreedt’. Dat is volgens hem waargemaakt. “We hebben gehandeld in lijn met wat we toen zeiden dat we zouden doen. Alles wat we doen gaat volgens de prioriteiten die we hebben gesteld.”

Nadia Benaissa van Bits of Freedom denkt ook dat de AP met zijn aandachtsgebieden op de goede weg zit. “Het is goed dat ze zich er bezighouden met duidelijke focusgebieden”, zegt ze. Bovendien zijn gezondheidsgegevens en overheidshandelen ook wel onderwerpen die belangrijk genoeg zijn om aan te pakken, denkt Benaissa.

Strenge interpretaties

Het is overigens niet de enige situatie waarbij de waakhond streng optreedt. Onlangs sprak de AP zich uit tegen het verzamelen van locatiedata door overheden in de strijd tegen het coronavirus. Opvallend aan de uitspraak: volgens de AP kunnen locatiedata per definitie niet anoniem zijn, daarom is er een wetswijziging nodig.

De AP lijkt de privacywet soms strenger te interpreteren dan andere toezichthoudersWolfsen vindt dat de AP-juristen de wet niet bijzonder veel strenger dan juristen of andere Europese toezichthouders interpreteren. “Op veel vlakken lopen we wel voorop”, zegt hij. “We zijn niet de trendsetter, maar spreken ons wel in een vroeg stadium al uit over bepaalde zaken. Dat komt dan misschien streng over, maar dat is juist omdat Nederland zo sterk gedigitaliseerd is en zo veel bedrijven met de wet hebben te maken.” Op veel vlakken, zegt Wolfsen, is te zien hoe andere Europese toezichthouders of het grote overkoepelende toezichthoudersorgaan er inmiddels dezelfde denkwijzes op na houden. “Als het gaat om onze interpretatie van de cookiewall, zie je dat inmiddels alle andere toezichthouders nu zeggen wat wij eerder al zeiden.”

Misschien heeft het ook te maken met het feit dat alle boetes, maar ook de subtielere waarschuwingen en de openbare blogposts van de AP, na twee jaar eindelijk meer duidelijkheid geven aan bepaalde begrippen. Bedrijven hekelden ooit termen zoals ‘het gerechtvaardigd belang’. Door een combinatie van boetebesluiten en bredere duiding van de AP worden die begrippen een stuk helderder. “De term ‘gerechtvaardigd belang’ was inderdaad lang een discussiepunt”, zegt Wolfsen. ”Na een tijdje hebben we daar op de website meer over geschreven, over de manier waarop we daar tegenaan kijken.”

Onderbezetting

Er is één probleem dat consequent terugkomt in discussies over de AP: de zware onderbezetting van de waakhond. Ook nu, twee jaar na invoering en na veel verzoeken om meer geld bij de regering, is er nog maar weinig veranderd aan de situatie. Ondertussen blijft het aantal vragen, klachten en meldingen bij de organisatie ongeremd groeien. Waren er in de tweede helft van 2018 nog 10.000 verzoeken die de AP moest afhandelen, in het eerste half jaar van 2019 ging het om 15.000 verzoeken.

De AP is notoir onderbezet, en dat levert problemen opDe toezichthouder is verplicht iedere melding in behandeling te nemen. Een paar maanden geleden moest de waakhond voor het eerst concluderen dat dat niet lukte. In 2019 zijn 3000 behandelverzoeken blijven liggen. De waakhond probeert prioriteiten te stellen om te bepalen wat voor soort vragen als eerste worden behandeld, maar nog steeds voelen burgers zich regelmatig afgescheept als ze lang moeten wachten.

‘Formatieproblematiek’

Wolfsen erkent het probleem, dat hij ‘formatieproblematiek’ noemt: “we hebben te veel werk.” Ook organisaties zoals Bits of Freedom zien inmiddels de problematiek rondom de onderbezetting, zegt Benaissa. “Dat beperkt hun slagkracht, en daardoor vallen er te weinig boetes om voor een echt afschrikwekkend effect te zorgen.” De problemen zijn ook bekend bij de politiek, maar dat heeft nog niet veel effect gesorteerd. In juni vorig jaar ging het budget marginaal omhoog, van 15,1 miljoen naar 18,5 miljoen euro per jaar. Minister Sander Dekker van Rechtsbescherming schreef vorig jaar aan de Tweede Kamer dat er niet nog meer extra geld naar de AP zou gaan.

Met de handhaving mag het inmiddels voorzichtig de goede kant op gaan, maar een echt harde aanpak van bedrijven lijkt moeilijk zolang de toezichthouder beperkte slagkracht heeft.

Reacties (77)

[NiGeLaToR]

Vrijwel iedereen werkzaam in de IT heeft te maken met de AVG. Waar het in de aanloop naar de ingang van handhaving twee jaar geleden voor veel organisaties even flink aanpoten was om 'te voldoen aan' zie je dit urgentie sindsdien wel afnemen. Toch word mijn bedrijf geregeld gevraagd om te ondersteunen bij incidenten waarbij de AP is of wordt ingeschakeld, dan wel door de meldplicht, dan wel omdat klanten of betrokkenen zelf aan de bel trekken. Ik ervaar de AP hierin adequaat reagerend, doch bureaucratisch. De meldprocedure is onnodig ingewikkeld en onhandig in gebruik, er is geen dossiervorming zichtbaar en communicatie verloopt veelal via (aangetekende) post. Dit is omslachtig en kost veel procedurele tijd (poststukken verzamelen, verslaglegging op papier, aangetekende brieven schrijven, etc).

Als we terug kijken op afgelopen twee jaar en de hoeveelheid meldingen die gedaan zijn is het verruimen van budgetten voor handhaving wellicht zinvol, maar ook het automatiseren van het bureaucratische proces eromheen. Zorg dat je in contact kunt blijven via een handiger en minder tijdrovend systeem, beveiligd volgens de geldende standaarden. Wat ik tenslotte wel als enorm pluspunt ervaar is de mogelijkheid tot persoonlijk contact: de meldingen waar ik als intermediair tussen klant en AP optrad was de AP goed bereikbaar en beschikbaar voor repliek. Ook voor advies vanuit een FG rol blijkt de AP een goede gesprekspartner. Behulpzaam, doch rechtvaardig.

[Daoka]

Ik snap je gevoel maar ik heb op stukken wel een tweestrijd. Zoals de aangetekende post. Email zou inderdaad sneller zijn maar toch minder beschermend. Dan bedoel ik bijvoorbeeld zoals een keer dat ik de vraag had: hoe kan het deze bedrijf onze mails kunnen ontvangen maar als we een rekening sturen ontvangen ze het vaak niet. Het leek er van mij kant ieder geval op dat ze stiekem uitstel van betaling deden. Want het was naar dezelfde persoon, zelfde emailadres en dus geen typfouten en de rekening was als pdf als bijlage en er waren eerder al grotere pfd bestanden gestuurd. Maar technisch gezien konden wij verder niets bewijzen dat hun het echt niet ontvangen zouden hebben. Vooral als het gaat om zulke zaken is zekerheid belangrijk. Want dingen kunnen nog wel eens verkeerd of "verkeerd" gaan.

[NiGeLaToR]

De initiële aanschrijving per aangetekende post: prima.

Maar als je melding doet en je wilt deze aanvullen, moet je het gehele aanmeldformulier nogmaals invullen. Je kunt geen 'login' via een geverifieerd iets krijgen om je dossier in te zien. Dus als je vervolgens - per post - weer aanvullende vragen krijgt, moet je die via dat formulier wederom geheel opnieuw invullen.

Nu kun je met auto-form-fill dingen wel eromheen werken en zicht houden op wat je aan informatie aanlevert, maar handig is het niet.

Maargoed, wat nog niet is, kan nog komen. Andere handhavingsinstanties en overheidsorganen zijn inmiddels verder, dus kan best zijn dat dit nog volgt. Prioriteit lag begrijpelijk elders.

[Daoka]

Dank je wel voor de verdere uitleg. Ik begreep inderdaad even niet dat het zou ingewikkeld ging. Ik zat dan meer te denken aan de "officiëlere" zaken zoals dat de waarschuwing / boete, aanvragen van documenten of aanvraag voor controle bij de bedrijven en dat soort dingen.

Vooral omdat je ook zei dat de AP goed bereikbaar was zat ik aan zulke zakwn te denken. En dus niet voor een kleine toevoeging.

[Anoniem: 562971]

En zoiets als een leesbevestiging of een elektronische handtekening (ontvangst) vóór opening van het document?

[CAPSLOCK2000]

Zo'n leesbevestiging is volkomen onbetrouwbaard. Die wordt verstuurd door de software van de ontvanger. Als de ontvanger niet wil weten of mail is gelezen dan kan die het versturen van die bevestigingen gewoon uitschakelen.
Een elektronische handtekening voor ontvangst helpt ook niet, dan tekent de ontvanger niet en weet je nog niks. Los van de vraag hoe je dat met digitale middelen doet, praktisch gezien.

[svenk91]

Maar aangetekende post hoef je ook niet te accepteren, en je kan betwisten wat er in die post zat natuurlijk.

[Daoka]

Een leesbevestiging hoeft niet verstuurd te worden ook al heb je de bericht gelezen. En elektronische handtekening voor documenten had ik inderdaad even niet aan gedacht. Al vraag ik me wel af of zulke dingen wettelijk gezien gelden voor rechtszaken.

[re-atari]

Kleine correctie op dit artikel: de AVG is in werking getreden op 25 mei 2016 en niet, zoals door velen wordt beweerd, pas op 25 mei 2018. De verplichtingen die in de AVG zijn vastgelegd zijn pas op 25 mei 2018 volledig van toepassing geworden.

De AVG gaf bedrijven en overheidsinstanties nl. een termijn van 2 jaar na inwerkingtreding, dus tot 25 mei 2018, om hun organisatie en informatiesystemen zodanig aan te passen, dat deze uiterlijk op die datum zouden voldoen aan de verplichtingen vastgelegd in de AVG. De Autoriteit Persoonsgegevens zou tot die datum niet handhavend optreden.

Dat wil echter niet zeggen, dat iemand of een belangenorganisatie die door een inbreuk op de AVG in zijn/haar belang(en) meende te zijn benadeeld, zich niet al vanaf 25 mei 2016 bij een (kort geding) rechter tegen die inbreuk kon verweren en naleving van de bepalingen van de AVG kon eisen. Er zijn gevallen waarin de rechter al voor 25 mei 2018 heeft geanticipeerd op het volledig van toepassing worden van de AVG.

De klaagzang die in de weken voorafgaand aan eind mei 2018 ineens in de pers ontstond, waarin bedrijven en overheidsinstanties (zoals de Belastingdienst) dikke krokodillentranen huilden, dat men die datum niet kon halen, was overigens nogal misplaatst. Het was al ruim voor 25 mei 2016 bekend dat de AVG eraan zat te komen, en men had ook nog eens een termijn van 2 jaar gekregen om de verplichtingen van de AVG te implementeren.

re-atari

[WhatsappHack]

Zijn er eigenlijk echt succes verhalen van mensen die klachten indienen? Ik ben dan vooral benieuwd naar internationale samenwerking. Ik heb een klacht ingediend in september 2018 tegen een Frans bedrijf dat, naar mijn mening (en volgens ‘t AP “daar lijkt het inderdaad op”), zich niet aan de wet houdt mbt keuze opties qua consent, informatie én ‘t verwerken van medische data. Daar krijg ik nu van ‘t AP nog steeds netjes elke 3 maanden een berichtje van dat er niets te melden valt omdat ze niets gehoord hebben van hun collegae in Frankrijk, maar er lijkt dus echt he-le-maal niets mee te gebeuren door de Franse toezichthouder. Dat schiet niet op.

Als er zoveel tijd overheen gaat vraag ik me af of het echt zin heeft. Met consumables zullen veel mensen dan allang weg zijn. En ‘t bedrijf krijgt wss eerst een waarschuwing, maar die mogen eerst blijkbaar ook een paar jaar hun gang blijven gaan. Bij ‘t bedrijf in kwestie is namelijk ook nog niets veranderd aan de policy.

Dan moet je je af gaan vragen of ‘t de volgende x dat je zoiets ziet überhaupt nut heeft om de moeite te nemen zo’n onderbouwd rapport in te dienen.

[chrisborst]

Je kan vinden van de AVG wat je wil, maar voordat die wet er was heb ik op kantoor of ergens anders het woord privacy of databeveiliging niet gehoord. Het leefde totaal niet onder de normale mensen.
En sinds er over de AVG wordt gesproken is iedereen er veel bewuster mee bezig.
Dus het heeft ieder geval eens stukje bijgedragen aan de bewustwording.

Helaas is er nog blijkbaar wel veel onduidelijk want ik hoor te vaak sprookjes over dat iets niet zou mogen, want dat zou in strijdt zijn met de AVG.
Voorbeeld; Onze jongeren-vereniging op kantoor is voor mensen tot 35 jaar. Nu willen ze dus een email versturen naar iedereen die hieraan voldoet. Krijgen ze te horen van Personeelszaken dat dit niet mag want dan zou je mensen op leeftijd targeten en dat zou volgens de AVG niet mogen.
Of de CV van een sollicitant moet direct vernietigd worden. Terwijl je prima mag vragen of je hem een jaar mag bewaren voor het geval er nog een vacature beschikbaar komt.

Volgens mij zou je de AVG kunnen samenvatten (op hele grove hoofdlijn) dat bijna alles mag zolang je er een goed verhaal bij heb, dit duidelijk verteld en de data volgens de spelregels opslaat.
Daarom hebben partijen als Bits of Freedom er ook bezwaar tegen omdat je nog steeds enorm veel mag hierdoor. Er worden namelijk heel veel zaken niet verboden.

[Reactie gewijzigd door chrisborst op 25 juli 2024 22:22]

[XBL]

Geboortedatum van je werknemers gebruiken voor iets anders dan de wettelijke verplichtingen van de werkgever (goede administratie voeren zegmaar), mag toch ook niet? Tenzij die werknemer toestemming heeft gegeven z'n geboortedatum ook voor andere dingen te mogen gebruiken.

Wellicht dat ik ook wel zo'n strakke AVG interpretatie doe, dus ik ben oprecht benieuwd of en hoe het anders ligt.

[chrisborst]

Het zou een ander verhaal zijn als de Jong@bedrijfsnaam een lijst met naam + geboortedatum zou vragen aan HR. Maar nu is gewoon de vraag, geef mij een lijst met namen van iedereen die 35 of jonger is.
Die mensen krijgen dat een email met de uitnodiging voor bijvoorbeeld een BBQ.
Kan nooit de bedoeling van de AVG zijn geweest om dit soort zaken te verbieden.
Dit valt gewoon onder normale bedrijfsvoering.

[bzzzt]

Die BBQ is een beetje flauw voorbeeld van leuke dingen die mogelijk gehinderd worden door de AVG.

De hele vraag is natuurlijk overbodig: waarom niet iedereen een mailtje te sturen met daarbij de doelgroep (en wat er eventueel voor de overgeslagen mensen wordt georganiseerd ivm scheve gezichten )

Het gaat er in essentie om of iemand 'zomaar' een lijst van jongere werknemers mag maken (gebruik makend van data uit de personeelsadministratie). Volgens keer is het niet voor een BBQ, maar een ontslagronde. Of wordt bijvoorbeeld een evenement georganiseerd voor mensen met overgewicht (gebruik makend van gewicht uit je medische dossier).

[chrisborst]

De BBQ is geen flauw voorbeeld, want dat is precies wat een personeelvereniging of een jongerenvereniging doet in een bedrijf. Leuke uitjes/zaken organiseren om de verbondenheid tussen werknemers te bevorderen.
En natuurlijk kan je iedereen een mail sturen maar daar gaat de discussie niet over.

En je voorbeeld van een ontslagronde is natuurlijk onzin want daar bestaat het ontslagrecht voor. En daar wordt in beschreven dat in sommige gevallen in elke leeftijdsgroep een x percentage moet worden ontslagen.
Ook de overheid werkt met bepaalde gegevens om doelgroepen te bereiken. Zo krijg je boven een bepaalde leeftijd de oproep voor een bevolkingsonderzoek. Allemaal legitieme redenen die keurig aan de wet en regelgeving voldoen.

[bzzzt]

dat is precies wat een personeelvereniging of een jongerenvereniging doet in een bedrijf. Leuke uitjes/zaken organiseren om de verbondenheid tussen werknemers te bevorderen.

Wanneer je bij in diensttreding een alinea over gebruik van de personalia ivm dit soort activiteiten hebt opgenomen is er ook helemaal niets aan de hand.
Het gaat er om dat niet iedere random werknemer 'even' wat gegevens trekt uit de personeelsadministratie en dat - wanneer de vraag komt - er nagedacht wordt over het legitiem zijn van zo'n verzoek.

[XBL]

De nette manier is om al je medewerkers te vragen of hun persoonsgegevens gebruikt mogen worden voor dit soort doeleinden. Dan heb je er daarna geen discussie meer over nodig.

Ik lees alleen 'dit gaat wel erg ver', maar volgens mij gaat de AVG ook zo ver. Uitgangspunt is dat persoonsdata van de persoon is en dat er zonder grondslag niets mee gedaan mag worden. BBQ organiseren is geen geldige grondslag. Toestemming hebben van de persoon is dat wel.

Lijstje van de AP:

1. U heeft toestemming van de persoon om wie het gaat.
2. Het is noodzakelijk om gegevens te verwerken om een overeenkomst uit te voeren.
3. Het is noodzakelijk om gegevens te verwerken omdat u dit wettelijk verplicht bent.
4. Het is noodzakelijk om gegevens te verwerken om vitale belangen te beschermen.
5. Het is noodzakelijk om gegevens te verwerken om een taak van algemeen belang of openbaar gezag uit te oefenen.
6. Het is noodzakelijk om gegevens te verwerken om uw gerechtvaardigde belang te behartigen.

[Speedpete]

Nou, formeel is toestemming dat dus niet.

Toestemming moet vrijelijk, specifiek, geïnformeerd en ondubbelzinnig gegeven worden. Tussen een werkgever en een werknemer bestaat een machtsverhouding, dit beperkt het vrijelijk geven van toestemming waardoor toestemming al heel snel geen geldige grondslag meer is. Wil je dan toch gebruik maken van toestemming dan moet je heel erg duidelijk maken dat de toestemming echt vrij is en geen negatieve gevolgen heeft.

Als grondslag voor zo'n lijst zou ik dus kiezen voor gerechtvaardigd belang en de overweging hiertoe duidelijk inkleden.

[Droefsnoet]

Dat is best strak ja, dat zou betekenen dat het verjaardagskaartje van je collega's niet attent is, maar schending van je privacy.

[chrisborst]

Precies dit. Ik heb laatst ook een bloemetje gekregen voor mijn verjaardag.
Dat zijn gewone zaken die in een bedrijf gebeuren en niks met schending van privacy te maken heeft. De hele AVG is niet voor dit soort zaken in het leven geroepen.
En ook voor de AVG moest een bedrijf zorgvuldig met dit soort gegevens omgaan.

[BoB_HenK]

Het probleem is niet het bloemetje dat je ontvangt, het probleem is de veel te makkelijke wijze waarop onbevoegde medewerkers toegang tot je gegevens kunnen krijgen. Vandaag is het de secretaresse die je adres opzoekt voor een bloemetje, wie weet is het morgen de HR stagair met toegang tot het HR systeem die opeens je BSN, geboortedatum en rekeningnummer buitmaakt en doorverkoopt.

Het feit dat een bedrijf voor AVG zorgvuldig moet zijn zegt in de praktijk niets. Indien je die redenatie aanhoudt kan je het strafrecht boek wel in de prullenbak doen, iedereen weet dat je de anders hersenpan niet in mag slaan met een knuppel toch?

[XBL]

Klopt. Mijn opdrachtgever vraagt om na te denken over het open stellen van je Outlook agenda, omdat je daar potentieel persoonsdata mee openbaart (voorbeeld is daarbij idd de verjaardagen van je collega's).

Of het een schending van je privacy is moet je zelf weten, maar volgens de wet is dat het volgens mij wel (tenminste, als ze het op basis van de personeelsadministratie gaat). Makkelijke oplossing is al je werknemers te vragen of hun gegevens voor dit soort doeleinden gebruikt mogen worden.

[Superstoned]

Je kunt ook gewoon de HR afdeling de uitnodiging laten versturen... dan is het ook opgelost.

[Caayn]

De fabeltjes rondom de AVG kunnen nog wel eens een probleem zijn. Zelf heb ik er gelukkig geen last van en vind het prima dat de AVG er is, maar als ik naar mijn vriendin kijk waar haar management/directie de AVG incorrect interpreteert en daardoor te streng is werkt het averechts (zoals in het door jouw genoemde voorbeeld). Het personeel is daardoor terecht geïrriteerd en roept vervolgens dan ook kreten als "AVG weg ermee".

[comecme]

Los van de AVG, is zo'n jongerenvereniging niet een gevalletje leeftijdsdiscriminatie?

[chrisborst]

Natuurlijk, net zo als 65+ korting in een restaurant, woningen voor 55+-ers en ga zo maar door. Overal is er sprake van (positieve) leeftijdsdiscriminatie.
In heel veel (technische)bedrijven zie je dat ze een jongerenvereniging hebben. Vaak is de gemiddelde leeftijd redelijk hoog en willen ze jongeren met elkaar in contact brengen.
Niks vreemds aan lijkt mij.

[Daoka]

Ik vind dat ze goed bezig zijn. Al vind ik de AVG wet op sommige vlakken wel overdreven. Zoals een contact formulier dat ineens een bevestiging nodig heeft dat je begrijp dat de gegevens die je invult verwerkt wordt. Dat is toch gewoon logisch en wordt toch zelfs verwacht dat dit gebeurt. Anders heeft de bericht sturen ook geen zin. En als er gewoon een email gestuurd wordt dan is er toch ook geen waarschuwing of bevestiging nodig.

[MadEgg]

Maar is dat de AVG die overdreven is of de implementatie van het contactformulier wat het wat te streng heeft geimplementeerd? Voor zover ik weet hoef je niet expliciet toestemming te geven voor iets wat overduidelijk het gevolg is van een actie. Zoals dat als je een contactformulier invult dat de gegevens die j invult gebruikt worden om een antwoord te sturen.

Als vervolgens je contactgegevens in een database opgeslagen worden en blijven is het een ander verhaal - dat is niet nodig om aan je contactverzoek te voldoen en daar zal dus expliciet toestemming voor gevraagd moeten worden.

[Daoka]

Ik zeg heel eerlijk dat ik te weinig weet over de AVG om dit eerlijk te bepalen. Ik ging er eigenlijk vanuit omdat ik dit sinds de AVG op meerdere websites heb gezien. En ik heb net even gezocht en zag meerdere websites dit uitleggen hoe je een contactformulier AVG proof maakt. Maar dat gaat het wel om websites waar je niet kan inloggen. Dus geen webwinkel bijvoorbeeld waar je al akkoord gegeven heb op de privacy overeenkomst. Misschien zit hier een verschil in. Of misschien omdat ons bedrijf in de zorg zit dat er andere regels voor gelden. Want uit eindelijk verwerken we de persoonlijke informatie (meestal een hulpvraag) wel om te bepalen of die persoon wel past in wat wij kunnen bieden. Die gegevens worden tijdelijk wel bewaard voor het geval dat de persoon toevallig verder contact opneemt zoals voor de vraag welk bedrijf wel kan helpen of verdere uitleg waarom wij hem of haar niet kunnen helpen.

[SRI]

Hoe wel ik het principe van de GDPR (Europese overkoepelende versie van de AVG) goed vind heb ik er wel wat problemen mee.

Zo moeten je als je bijvoorbeeld advertenties of analytics hebt in je apps een pop up altijd tonen aan mensen in de EU (volgens onze advocaat lijkt het zelfs zo te zijn dat je als Europees bedrijf dit moet tonen aan iedereen). Maar hoe je er achter moet komen wie dan een EU burger is daar zeggen ze niks over.

Tevens heb ik ook geregeld apps en websites gezien die er niks mee doen. En wat moet je dan? Het is in elk geval wel iets beter dan de cookie wetgeving waar iedereen gewoon laks mee omgaat.

[PdeBie]

Tevens heb ik ook geregeld apps en websites gezien die er niks mee doen. En wat moet je dan? Het is in elk geval wel iets beter dan de cookie wetgeving waar iedereen gewoon laks mee omgaat.

Melden bij de waakhond.

[ikkuhqhp]

Dat is vreemd, want in beginsel zijn advertenties en analytics een ePrivacy Richtlijn onderwerp , dus verwant aan de AVG, maar niet hetzelfde. En onder de Nederlandse implementatie van die richtlijn heb je geen toestemming nodig voor het gebruik van analytics. De AVG is overigens exact hetzelfde als de GDPR. De eerste is alleen verschillende de Nederlandse taalvariant en de andere de Engelse. Inhoudelijk is er geen verschil.

[SRI]

Gezien analytics veel al via Google gaat is het volgens onze advocaat wel degelijk iets waar je permissie voor moet hebben om het te mogen verzamelen.

Naast dit moet je voor advertenties het vragen of aan de provider melden dat de ads niet gepersonaliseerd mogen zijn (aanzienlijk lagere inkomsten).

GDPR is de EU richtlijn die lidstaten dienen te implementeren in hun eigen wetgeving. Heeft niks met Engels te maken (volgens mij moet elk EU stuk in alle lidstaat talen vertaald worden). AVG is inderdaad de Nederlandse implementatie ervan.

[ikkuhqhp]

De AVG is de Algemene Verordening Gegevensbescherming, dus geen richtlijn. De GDPR Is de General Data Protection Regulation. Een regulation is exact hetzelfde als een verordening. Verordeningen hebben - in tegenstelling tot richtlijnen - directe werking en hoeven niet worden omgezet. Alle talen hebben in de EU dezelfde officiële status en daarom is er geen verschil tussen taalversies van verordeningen (of richtlijnen). Zie ook de juridische site van de EU waar je alle talen kunt kiezen.

[Superstoned]

Ja zeg als je data van je gebruikers aan een adverteerder overhandigd moet je natuurlijk toestemming vragen. Als je het zelf zou afhandelen niet. Logisch toch, je schendt onnodig de privacy van je gebruikers, dat je daar toestemming voor moet vragen lijkt me logisch.

Je kunt zelf ook Matomo hosten, dan hoef je geen toestemming te vragen want die gegevens verzamelen is op zich een legitiem doel. Doen wij ook... je hoeft alleen te informeren in je privacy policy.

[Speedpete]

Jullie advocaat heeft gelijk. Als jullie gevestigd zijn in de EU dan dienen jullie de AVG / GDPR te hanteren, ongeacht waar de klant vandaan komt.

[SRI]

Ja en dat zorgt er weer voor dat concurrentie een betere eerste ervaring kan leveren aan mensen die hun app downloaden als ze niet in de eu gevestigd zijn en de consument geen eu burger is.

[Speedpete]

Zij zullen toch ook aan de AVG moeten voldoen als ze consumenten uit de EU bedienen. Daarin ben ik het eens met @PdeBie: melden bij de waakhond als het niet het geval is.

Alternatief hierin is je analytics en advertenties aanpassen naar een anonieme verwerking, dan is de AVG niet van toepassing en hoef je ook niets te melden.

[SRI]

Ja daar wordt ook aan gewerkt. Maar als een klein bedrijf zoiets bouwen wat alleen maar in de buurt komt van wat Google Firebase kan is al extreem duur en tijdrovend.

[thunder7]

Van 15,1 naar 16,5 is bijna 10% in één jaar. Dat is niet marginaal, m.i.

[Daoka]

15,1 miljoen naar 18,5 miljoen euro per jaar.

Je heb het per ongeluk verkeerd gelezen. Al kan je natuurlijk afvragen wanneer iets veel of weinig is.

[hichelay]

. In juni vorig jaar ging , van 15,1 miljoen naar 18,5 miljoen euro per jaar.

3,4 miljoen, meer dan 20% van de oorspronkelijke begroting. Dat is toch niet marginaal?

Als slechts de helft voor salarissen is, kun je makkelijk 20 man extra aannemen.

[rickiey]

Het grootste probleem van de AVG ligt na mijn mening nog bij de ondercapaciteit van de AP. Deze kan de grote stroom klachten gewoon simpelweg niet aan.

[caspar M]

"Formatieproblematiek" is helaas standaard bij dit soort publieke organisaties waar de samenleving veel belang bij heeft.

Dat heeft altijd een oorzaak in de politiek. Het is namelijk (openlijk) niet mogelijk om deze belangrijke organisaties de nek om te draaien. Maar niet getreurd! je zorgt ervoor dat er nauwelijks budget is! hiermee wordt de "pak kans" verwaarloosbaar.

De winst die bedrijven maken door zich niet te houden aan wet en regelgeving is dan vele malen hoger dan de mogelijke boete die je misschien ooit krijgt. (en je maakt dan een geheime afspraak, waarbij de uiteindelijke boete verwaarloosbaar is)

Met dank aan de lobby vanuit de zakenwereld en vrindjes van het dispuut!:
Zeker Nú