Anders nog iets? Mijn persoonlijke data graag

Dat zou betekenen dat vanaf mei 2018 iedereen met een Bonuskaart bij de Albert Heijn alle gegevens kan opeisen die de supermarkt over hem heeft verzameld. De data hoeven niet direct verwijderd te worden, het bedrijf is alleen verplicht de data aan te bieden op een manier dat het gemakkelijk in andere systemen kan worden geïmporteerd. Albert Heijn loopt voorop als het gaat om data-analyse van klanten. Het bedrijf heeft van elke klant een profiel waarin gegevens van bonuskaart, pinpas, persoonlijke informatie en gebruikersgedrag in de app worden gecombineerd. Moet de supermarkt die zuurverdiende dataprofielen straks zomaar afstaan? “Het is nog onduidelijk hoe dat eruit gaat zien”, zegt Natali Helberger. “De verordening biedt ruimte voor verschillende werkwijzen.”

Het is voor dit soort Europese regelgeving normaal dat pas na invoering duidelijk wordt hoe de wet in de praktijk gaat werken, maar het is al wel duidelijk dat er veel werk aankomt voor bedrijven als Albert Heijn. “Het wordt een enorme uitdaging voor bedrijven om op aanvraag inzicht te geven in al die data”, zegt Helberger. Ze verwacht niet dat bedrijven hun gebruikers van harte zullen uitnodigen hun data op te vragen. “Of dat nodig is, is maar de vraag”, zegt ze. “Ik vind het heel belangrijk dat we het recht hebben op onze eigen data, maar ik vraag mij af of men in de praktijk veel gebruik gaat maken van dat recht.”

Hoge boetes

Het is ondanks een jarenlange stevige lobby van grote bedrijven in Brussel dat er nu toch een verordening is ingevoerd. Vanaf januari zullen ze eraan moeten geloven: bedrijven die na 1 januari aan gebruikers niet hun gegevens verstrekken binnen de gestelde termijn (tot 3 maanden afhankelijk van complexiteit) riskeren torenhoge boetes.

Op dit moment bedragen de boetes die de Nederlandse Autoriteit Persoonsgegevens (AP) mag opleggen maximaal 820 duizend euro. Dat lijkt veel, maar is voor grote bedrijven met een miljardenwinst nauwelijks voelbaar. Vanaf 25 mei 2018 kunnen de boetes van de AP oplopen tot twintig miljoen euro of vier procent van de wereldwijde omzet. In het geval van Albert Heijn kan een boete dus in de tientallen miljoenen lopen – als het overkoepelend concern Ahold wordt gezien als de overtreder is vier procent van de omzet zelfs meer dan een miljard. “Het zijn buitengewoon gevoelige straffen”, zegt Helberger. “Bedrijven zullen die boetes serieus moeten nemen. Ik kan me voorstellen dat er meteen stevig gestraft wordt om bedrijven duidelijk te maken dat het menens is.”

Geen kleine lettertjes meer

Wat we waarschijnlijk als eerste gaan merken van de AVG is betere privacycommunicatie van bedrijven. De verordening verplicht bedrijven om meer te bieden dan lange lappen tekst in kleine lettertjes, die niemand leest voor hij akkoord gaat. Helberger: “De AVG is heel expliciet over het duidelijk formuleren van de privacy policy”, zegt Helberger. “Het is straks aan de bedrijven om te bewijzen dat zij hun gebruikers voldoende hebben geïnformeerd over welke data wordt bewaard, en waarom. Als er kinderen onder de gebruikers zijn is dat nog belangrijker: de privacyvoorwaarden moeten dan voor hen makkelijk te begrijpen zijn.”