De AVG is van kracht, wat merken we ervan?

Na jaren van voorbereiding was het dan zo ver: op 25 mei 2018 werd de Algemene Verordening Persoonsgegevens écht van kracht. Merken we er al iets van? Tijd voor een AVG update.

Overstromende mailboxen

Waar we in elk geval niet omheen konden: De miljarden e-mails die in de dagen, uren, soms zelfs minuten en seconden vóór 25 mei 2018 zijn verstuurd aan EU-burgers. “Lees onze nieuwe privacyverklaring!”; “Keur onze nieuwe privacyverklaring goed!”; “Geef ons alstublieft opnieuw uw opt-in!”. Sommige afzenders probeerden nog een beetje amicaal te doen “Ja, ook van ons krijgt u een e-mail over uw privacy”. Maar tussen de regels door las je angst en onzekerheid. Ze hadden een hoop adressen in hun database gevonden waarvan ze bij nader niet precies wisten hoe het zat met de opt-in, of ze waren slecht geadviseerd en stuurden voor je-weet-maar-nooit een mail …

Misschien was u zelf wel die marketeer die, toch enigszins in paniek door de berichtgeving over de AVG, op het laatste moment een campagne op poten zette om uw nieuwe privacybeleid voor te leggen aan iedereen in uw database. Waarschijnlijk heeft u hiermee alleen gevoelens van onverschilligheid of irritatie opgeroepen bij de ontvangers. Mogelijk heeft u zelfs de AVG meteen al overtreden. Dat was vast niet de bedoeling.

Was de privacyverklaring eens flink opfrissen en opnieuw publiceren op de website eigenlijk voldoende voor de meeste bedrijven en organisaties? Ja, want een privacyverklaring hoeft helemaal niet aan al uw individuele relaties persoonlijk te worden overhandigd. Hij moet wel gemakkelijk te vinden zijn op uw website, en in begrijpelijke taal zijn geschreven.
Zorg ervoor dat iedereen op de hoogte kan raken van uw privacy-beleid en wat u met hun persoonlijke data gaat doen vóórdat ze deze aan u verstrekken, zo voldoet u aan de AVG.

Slimme oplossingen en handige oplichters

In het niemandsland tussen het van kracht worden van de wet en de eerste serieuze rechtszaken/sancties zijn inmiddels allerlei bedrijven actief die slimme oplossingen bieden voor bijvoorbeeld het verwerkingsregister, verwerkersovereenkomst, risico-inschatting, cookie-consent etc. Dat is handig voor partijen die zelf niet de kennis/capaciteit in huis hebben om dat goed te regelen.

Er zijn echter ook oplichters die een waardeloos keurmerk aanbieden, of zich uitgeven voor de Autoriteit Persoonsgegevens en proberen om boetes te incasseren. Helaas zullen er bedrijven en organisaties zijn die er toch weer intrappen.

Wat doet de Autoriteit Persoonsgegevens?

Sinds 25 mei hebben al ongeveer 600 mensen een klacht hebben ingediend. De AP onderzoekt alle klachten, en het kan wel even duren voordat we hier de resultaten van zien. Opvallend vaak gaat een klacht over het recht van verwijdering. Dat is een aspect van de AVG dat misschien onvoldoende aandacht heeft gekregen. Veel organisaties blijken niet in staat om gegevens binnen een redelijke termijn te verwijderen uit hun database.

Veel (semi-)overheidsdiensten, zoals de Belastingdienst, hebben hun zaken wat betreft de AVG ook nog niet op orde. Zo concludeert de AP dat het gebruik van het BSN in het btw-identificatienummer voor eenmanszaken in strijd is met de AVG.

Ook heeft de Autoriteit Persoonsgegevens in juni een brief gestuurd naar een exploitant van buitenreclame over het gebruik van camera’s in digitale billboards. Hierin wordt het wettelijke kader van de AVG voor deze soort verwerking van persoonsgegevens gecommuniceerd. De AP legt in haar brief uit dat in principe mogelijk moet zijn om voor het gebruik van camera’s in digitale schermen toestemming aan de betrokkenen te vragen. Toch heeft de exploitant besloten om alle camera’s uit te schakelen.

Vooral doorgaan

Ook na 25 mei 2018 is het zaak om te blijven werken aan de naleving van de AVG. Er zal de komende jaren meer duidelijkheid komen over de interpretatie van de wet. Dit heeft zeker verdere gevolgen voor marketing. En dan komt de opvolger van de “cookiewet”, de ePrivacy Verordening, er nog aan.
Wordt vervolgd!