Vijf jaar AVG. Een lange lijst irritaties, maar ook een flinke verbetering van onze privacy. 'Iedereen heeft het recht op een privéleven'

Regina Valk en Jan de Wit van Frijlande onderstrepen het belang van goede privacywetgeving.

Regina Valk en Jan de Wit van Frijlande onderstrepen het belang van goede privacywetgeving. Foto: J.W.van Vliet

Het is vijf jaar geleden dat de privacywet AVG is ingevoerd. Het riep nogal wat irritaties op, maar de gegevensbescherming is onmiskenbaar verbeterd, vinden Regina Valk en Jan de Wit van het Groningse opleidingsinstituut Frijlande.

Het is heel dubbel, beaamt Jan de Wit. Veel mensen hebben privacy hoog in het vaandel staan. Ze zijn er als de dood voor dat hun persoonsgegevens worden misbruikt, wat ook nogal eens gebeurt. Aan de andere kant deelt menigeen op sociale media onbekommerd zijn hele hebben en houden. ,,Er is wel een belangrijk onderscheid: wie iets op sociale media plaatst, doet dat meestal uit eigen beweging.’’

Hij komt met het voorbeeld van de voormalige reality-ster Samantha de Jong (alias Barbie), die een paar jaar geleden werd opgenomen in een Haags ziekenhuis. Artsen en verpleegkundigen die geen behandelrelatie met haar hadden, hebben in haar medisch dossier gekeken en daarover uit de school geklapt. De Wit: ,,Terecht beklaagde Barbie zich erover dat haar privacy was geschonden. Vervolgens werd haar voor de voeten geworpen dat ze zelf ook alles op sociale media plaatste. Maar dat rechtvaardigt niet wat er is gebeurd.’’

Vandaag is het exact vijf jaar geleden dat de AGV (Algemene Verordening Gegevensbescherming) van kracht werd. Om de invoering ervan was destijds veel te doen. Maar helemaal nieuw was de wet niet. Die bouwde voort op de Nederlandse Wet Bescherming Persoonsgegevens uit 2001.

‘Aanleiding tot hoongelach’

Voor veel mensen voerden de irritaties de boventoon. Op elke website die je bezoekt, moet je omslachtig aanvinken dat je akkoord gaat met de privacy-voorwaarden. Nog zoiets: van de ene op de andere dag maakten veel bedrijven niet langer bekend welke collega ziek of jarig is. Dat ze dit deden omwille van privacy was vaak aanleiding tot hoongelach.

Valk kan het zich voorstellen. Maar veel van zulke beperkingen golden ook al voor de invoering van de AVG, werpt ze tegen. ,,Verschil is dat veel bedrijven zich er toen niet aan hielden. Sinds de invoering van de AVG voelen ze zich daartoe wel verplicht. Van de weeromstuit sprongen veel bedrijven er ineens krampachtig en al te rigide mee om. Bij mensen op de werkvloer leidde het tot allergie.’’

Volgens haar moet centraal staan dat organisaties regels treffen om de veiligheidsrisco’s in te perken ,,zonder dat ze bedrijven lamleggen of medewerkers demotiveren’’. ,,Daar proberen we toekomstige privacy-specialisten ook in op te leiden. Ze moeten niet voortdurend roepen: ‘Dat mag niet van de AVG.’ Eerst moeten ze nagaan welk belang een regel dient.’’

Hoe meer informatie, hoe waardevoller

Het gaat ook niet specifiek om een verjaardag of leeftijd, vult Valk aan. Dat zijn losse stukjes persoonsgegevens. Het draait veeleer om ketens van informatie. Om naam, geboortedatum, adres, woonplaats. Of - nog gevoeliger - inlogcodes, bankrekening- en paspoortnummer. Hoe meer informatie, hoe waardevoller.

Mensen staan er soms zelf niet eens bij stil waar ze hun persoonsgegevens hebben achtergelaten. Valk: ,,Aan de vooravond van de Tweede Wereldoorlog vonden Joden het niet zo spannend dat ze op een lijst stonden van hun geloofsgenootschap. Vele tienduizenden heeft dat het leven gekost. In Nederland vielen relatief veel slachtoffers, omdat instellingen hier de administratie zo goed op orde hadden.’’

Privacy is volgens Valk lang een ondergeschoven kindje geweest. In 1983 is het als laatste grondrecht in de Grondwet opgenomen. ,,Iedereen heeft het recht op een privéleven en zichzelf te kunnen zijn. Zonder toestemming mogen derden niet over iemands persoonsgegevens beschikken.’’

‘De zwakste schakel blijft toch altijd de mens’

De invoering van de AVG heeft niet voorkomen dat er nog steeds om de haverklap bij instellingen datalekken aan het licht komen. De Wit schat in dat wat daarover in de media naar buiten komt, slechts het topje van de ijsberg is. ,,De zwakste schakel blijft toch altijd de mens. Als iemand op de werkvloer zich niet aan de spelregels houdt, dan is de kans groot dat het vroeg of laat fout gaat.’’

Daar komt bij dat cybercrime zich snel ontwikkelt. De burger wordt bestookt met phisingmails waarin wordt gepoogd geld of gegevens van hem of haar af te troggelen. Criminelen weten dat data veel geld waard zijn.

Een geheel ander voorbeeld is de Toeslagenaffaire. Door koppeling van informatie over fraude met persoonsgegevens werden hele volksstammen de dupe van ambtelijke willekeur binnen de Belastingdienst. Valk: ,,Dan beland je in een hokje en is je leven geruïneerd. Veel overheidsinstanties zijn nog steeds niet in staat de basisregels van de AVG zo toe te passen dat ze dit soort excessen voorkomen.’’

‘Een voetbalvereniging is minder spannend dan een ziekenhuis’

Valk en De Wit bepleiten dat organisaties waarin gevoelige gegevens omgaan specialisten aanstellen om bedrijfsprocessen te toetsen aan de AVG. De Wit: ,,De ledenadministratie van een voetbalvereniging is minder spannend dan een ziekenhuis dat met patiëntgegevens werkt. Een privacy-manager moet ervoor zorgen dat de wet goed wordt uitgevoerd. Een functionaris gegevensbescherming moet daarop toezien.’’

Inmiddels hebben steeds meer organisaties dit voor elkaar, weet Valk. Problematisch is wel dat er een groot tekort aan privacy-specialisten is. ,,Toen de AVG in 2018 van start ging, was het een nieuw vakgebied. Er waren geen gekwalificeerde mensen. Dat werkt nog steeds door.’’

Nu AI (kunstmatige intelligentie) doordringt tot de haarvaten van de samenleving, zijn ze extra hard nodig. Databestanden krijgen meer betekenis nu ze met AI aan van alles gekoppeld kunnen worden, zonder dat mensen er erg in hebben, laat staan dat ze er zeggenschap over hebben. Dankzij de voortschrijdende technologie kan dat in de toekomst nog veel verder gaan. ,,We worden steeds kwetsbaarder.’’

‘Het is winst dat privacy veel aandacht heeft gekregen’

Is de invoering van de AVG een succes geweest? Succes is een groot woord, zegt Valk: ,,Het is winst dat het onderwerp privacy dankzij de AVG veel aandacht heeft gekregen. Daarvoor lag het nooit op tafel bij bestuurders of toezichthouders. In het datatijdperk waarin we zijn aangeland, wordt het ook de hoogste tijd. Privacy en security moeten een vast onderdeel vormen van de bedrijfsvoering.’’

Zonder de invoering van AVG was de Belastingdienst op dezelfde voet doorgegaan, denkt Valk. ,,Er is aan het licht gekomen dat de gegevens van de gedupeerden in de Toeslagenaffaire ten onrechte waren gekoppeld. Die gewraakte werkwijze van de dienst is met een boete van de Autoriteit Persoonsgegevens aan de kaak gesteld. Als dat niet was gebeurd, was de dienst er gewoon mee doorgegaan.’’