Eén jaar AVG, hoe nu verder? - Friederike van der Jagt

Eén jaar AVG: heeft de wetgeving gebracht wat ervan verwacht werd?

Friederike van der Jagt: ‘De AVG heeft zeker bij iedereen het privacybewustzijn vergroot. De AVG zou ook voor duidelijke en uniforme privacyregels moeten zorgen. Ik kan niet zeggen dat dat nu altijd het geval is. Er zijn al tal van richtsnoeren verschenen om bepalingen uit de AVG verder uit te leggen. Nog steeds is niet alles precies duidelijk en dat maakt het moeilijk voor organisaties om volledig compliant te opereren.’

Waarom zijn er nog zo weinig boetes uitgedeeld en gaat dit komend jaar anders worden?

Friederike van der Jagt: ‘Het kost voor iedereen, inclusief de toezichthouders, tijd om aan de AVG te voldoen. De toezichthouders hebben veel uitgebreidere bevoegdheden gekregen, maar moeten ook de mensen en middelen hebben om deze bevoegdheden in te zetten. Daarnaast liepen er nog een aantal onderzoeken onder de oude wetgeving die nog moesten worden afgerond. Ook hebben de toezichthouders het afgelopen jaar veel van hun tijd besteed aan het geven van voorlichting en het beantwoorden van vragen.’

Wat is de rol van de AVG voor bedrijven, overheden en zorginstellingen óver een jaar? Bestendigt deze? Wordt het meer/minder?

Friederike van der Jagt: ‘Privacy staat definitief op de agenda van bedrijven, overheden en zorginstellingen. Na de eerste slag van het inventariseren van welke persoonsgegevens je nu eigenlijk allemaal verwerkt voor welke doeleinden, verschuift de aandacht naar het bereiken van een hoger niveau van privacy compliance. Men leert van datalekken en past daarop de beveiliging en de procedures aan. Ook is door het opstellen van een register van gegevensverwerkingen vaak duidelijk geworden waar nog privacyacties nodig zijn en zie ik dat veel partijen bezig zijn met deze vervolgacties.’

Welke fout wordt (nog steeds) het meest gemaakt met de AVG?

Friederike van der Jagt: ‘Wat ik nog steeds veel tegenkom is dat met werkelijk elke derde partij waarmee persoonsgegevens gedeeld worden, een verwerkersovereenkomst wordt gesloten. In veel gevallen kwalificeert een derde partij niet als een verwerker, maar als een zelfstandige verwerkingsverantwoordelijke. Bijvoorbeeld wanneer een derde partij de gegevens voor eigen doeleinden gaat gebruiken. Partijen moeten scherper kijken naar hun privacyrechtelijke rol.’

Wat is het meest hardnekkige misverstand over de AVG?

Friederike van der Jagt: ‘Tja, waar zal ik beginnen? Dat je overal toestemming voor zou moeten vragen! De AVG kent, net als de voormalige Wet bescherming persoonsgegevens, zes grondslagen om persoonsgegevens te mogen verwerken (zie art. 6 AVG). Soms kan het bijvoorbeeld nodig zijn om iemands gegevens te verwerken in het kader van een overeenkomst die je met die persoon hebt gesloten. Stel: je wordt lid van een vereniging en moet jaarlijkse contributie betalen. Het zal dan nodig zijn om bepaalde betaalgegevens van je te verwerken. Het kan ook zo zijn dat er een wettelijke verplichting is om persoonsgegevens te verwerken. Denk bijvoorbeeld aan het feit dat werkgevers in het kader van het heffen van de loonbelasting bepaalde informatie door moeten geven aan de Belastingdienst. De vangnetbepaling van het gerechtvaardigde belang (in simpel Nederlands: ik wil iets met jouw persoonsgegevens en denk dat mijn belang zwaarder weegt dan de eventuele inbreuk die dat heeft op jouw privacy) biedt ook nog veel mogelijkheden voor partijen om verwerkingen op te baseren. Toestemming is vaak juist een lastige: je moet het op de juiste manier verkrijgen, goed bijhouden zodat je de toestemmingen aan kunt tonen en iemand mag zijn of haar toestemming op elk moment intrekken.’

AVG, een lawyers paradise?

Friederike van der Jagt: ‘Het is zeker zo dat advocaten het (nog altijd) erg druk hebben met het adviseren over privacy. Daarbij geldt dat het een uitdaging is om zowel praktisch als AVG-compliant te adviseren. Ik denk dat privacyrechtadvocaten zich ook de komende jaren niet hoeven te vervelen!’

Meer over 1 jaar AVG? Friederike van der Jagt is de dagvoorzitter van het Jaarcongres ‘Eén Jaar AVG: hoe nu verder?‘. Dit vindt plaats op 27 juni 2019 in Utrecht met verschillende top-sprekers op dit gebied. Onder andere van de Autoriteit Persoonsgegevens!

→ Klik hier voor meer informatie over dit congres!