Angst voor privacywet AVG blijkt ongegrond

Scholen en sportclubs die geen groepsfoto’s meer mogen maken, miljardenboetes en het niet durven bewaren van visitekaartjes die je op een congres krijgt. De introductie van de Europese privacywet AVG (Algemene verordening gegevensbescherming) in mei 2018 ging gepaard met de nodige doemscenario’s. Negen maanden na de invoering van de gevreesde wet blijkt het allemaal wel mee te vallen.

‘De angst regeert, aangewakkerd door een legertje van honderden nieuwbakken AVG-consultants’, zegt Jean Paul van Schoonhoven, zelf consultant en functionaris gegevensbescherming voor verschillende bedrijven en oud-medewerker van de Autoriteit Persoonsgegevens (AP). ‘Dan krijg je apothekers die vragen om een kopie van een paspoort als iemand medicijnen voor zijn moeder komt halen.’

Bewustwording

De AVG heeft volgens Van Schoonhoven bedrijven bewust gemaakt van de risico’s van het bewaren van grote hoeveelheden data. En bewustwording gaat vaak gepaard met nervositeit: ‘Als mensen eenmaal snappen wat de bedoeling is, slaan ze vaak door. Als ze bijvoorbeeld een visitekaartje ontvangen op een congres, gaan ze hun privacyfunctionaris vragen of ze die wel mogen bewaren’, aldus Van Schoonhoven.

Dat erkent ook de Autoriteit Persoonsgegevens, die toezicht houdt op naleving van de privacywetgeving. Woordvoerder Martijn Pols: ‘Bedrijven zijn zich veel bewuster van privacy: dat is winst. Maar het komt ook voor dat ze doorslaan in het naleven van de privacyregels. Te streng hoeft ook niet. Die regels zijn er in eerste instantie om iets te beschermen, en in de praktijk moet dat zo geregeld zijn dat het normale zaken niet in de weg staat.’

Datasystemen inrichten

De AVG is overigens niet heel anders dan de Wet Bescherming Persoonsgegevens (WBP), die al in 2001 werd ingesteld. Het verschil is dat privacy nu hoger op de (politieke) agenda staat. De wet verbiedt bijna niks, zegt Van Schoonhoven, maar zegt in veel gevallen gewoon hoe je datasystemen moet inrichten.

Dat beaamt Gerrit-Jan Zwenne, advocaat bij Pels Rijcken en hoogleraar Recht en Informatiemaatschappij aan de Universiteit Leiden. ‘Het enige wat echt nieuw is, is het recht op dataportabiliteit.’ Dat betekent grofweg dat de burger ervoor moet kunnen kiezen gegevens over te dragen van de ene naar de andere partij. Ook nieuw is de de plicht van de overheid om bij nieuwe wetgeving onderzoek te verrichten naar de effecten ervan op de gegevensbescherming van burgers: de gegevensbeschermingseffectbeoordeling.

Lees verder op FD.nl