Twee jaar AVG - Handhaving met beperkte slagkracht

by

De AVG kent inmiddels een aardig lange geschiedenis. De eerste waarschuwingen aan bedrijven gaan al terug tot 2016. De echte introductie van de grootste en allesomvattende Europese privacywet vond echter plaats op 25 mei 2018, vandaag precies twee jaar geleden. Sinds dat moment moeten Europese bedrijven zich houden aan strenge regels voor het verzamelen van data en hebben burgers meer zicht op welke gegevens over hen worden verzameld. Dat gebeurt allemaal onder het waakzame oog van voornamelijk één partij, de Autoriteit Persoonsgegevens (AP). Nu de privacywet vandaag zijn tweede verjaardag viert, is het een mooi moment om de balans op te maken.

2019 was het jaar waarin de AP voor het eerst boetes begon uit te delen voor overtredingen van de privacywet. Volgens de voorzitter van de waakhond, Aleid Wolfsen, gaat het in totaal om een boetebedrag van 'zo'n drie tot vier miljoen euro', en dat zal alleen maar meer worden. Wie op de achterkant van een bierviltje meerekent, komt niet meteen op dat bedrag uit. Tot nu toe zijn drie boetes uitgedeeld waarvan de bedragen bekend zijn, en in totaal ging het daarbij om zo'n 1,7 miljoen. Maar dat zijn niet de enige overtredingen waar de privacywaakhond een boete voor uitdeelde, zegt Wolfsen. Inmiddels zijn al meer boetes uitgedeeld aan bedrijven, maar om verschillende redenen mogen die bedragen niet, of nog niet, bekend worden.

Handhaven en voorlichten

Op de open vraag hoe hij het inmiddels vindt gaan met de AVG antwoordt Aleid Wolfsen meteen positief. “Het gaat de goede kant op', zegt hij tegen Tweakers. 'Ik denk dat we inmiddels een goede balans hebben gevonden.” Hij noemt het woord 'balans' meerdere keren. Hij doelt ermee op de tweeledige doelstelling van de Autoriteit Persoonsgegevens, een organisatie die aan de ene kant voorlichter moet zijn en aan de andere kant handhaver. Over de invulling van die dubbelrol kreeg de AP in de afgelopen jaren veel kritiek. Was het in het eerste jaar van de AVG nog vooral een waakhond die blafte maar weinig beet, bij de eerste boetes werd de organisatie verweten te snel en te hard te oordelen. Verdomd als je beboet, verdomd als je het niet doet.

Toch was de voorzichtige aanpak in dat eerste jaar weloverwogen beleid, zegt Wolfsen. “We hebben bewust gekozen om de eerste twaalf maanden het accent te leggen op informatievoorziening, voorlichting en bijsturing. Het afgelopen jaar hebben we meer invulling gegeven aan de handhaving.”

Bekeuring op de mat

Het afgelopen jaar werden de eerste AVG-boetes uitgedeeldDat laatste klopt zeker. Vorig jaar september viel de eerste AVG-boete op de mat, bij het Haagse Haga Ziekenhuis. Later volgden de Nederlandse tennisbond en een bedrijf dat vingerafdrukken van werknemers verzamelde. Daarnaast werden lasten onder dwangsom opgelegd: voorwaardelijke boetes waarvan er een aantal daadwerkelijk is geïnd, onder andere bij zorgverzekeraars. Uiteraard volgen er meer boetes, zegt Wolfsen. Sterker nog, die zijn al uitgedeeld. Aan wie wil hij niet zeggen, want er lopen nog bezwaarprocedures bij de rechter. Ze vallen in ieder geval binnen de sectoren waarvan de AP heeft gezegd dat die prioriteit hebben.

Wolfsen zegt het als ‘wij-van-wc-eend’, maar hij is niet de enige die tevreden kan terugkijken op de afgelopen periode. Ook kritische partijen zoals Bits Of Freedom zijn niet meteen negatief over de aanpak van de AP - behalve dan over het feit dat de AP volgens iedereen, inclusief de waakhond zelf, fors onderbezet is.