Moet ik nu weer zo'n privacy policy lezen?!

Hoe irritant gegevensbescherming ook kan zijn voor betrokkenen, bedrijven en allerlei andere organisaties, zoals overheidsinstanties, gaan er pas echt onder gebukt. Zij riskeren boetes als ze niet aan hun verplichtingen voldoen. Ze moeten bijvoorbeeld in kaart brengen welke persoonsgegevens ze verzamelen en of daar wel een goede reden voor is. Dit moeten ze ook allemaal documenteren zodat ze aan kunnen tonen dat ze aan de wet voldoen. Zo moeten ze nu bijvoorbeeld kunnen laten zien of er, waar nodig, wel valide toestemming is gegeven. Daarom heb je wellicht de vraag gekregen of je je opnieuw voor een nieuwsbrief in wilt schrijven: zodat ze jouw toestemming buiten kijf kunnen stellen.

Moeilijke vragen

Waar is dit nou allemaal goed voor? Ook in privacyland zijn er genoeg mensen die beteuterd kijken naar al die ‘lege’ verplichtingen. Toch kunnen we er wel iets van bakken.

Gegevensbescherming gaat vooral om de vraag wie beslist. Mag een uitzendbureau weten wat je afkomst is, of alleen al dat je Aisha heet, met het risico dat ze je dan ongerechtvaardigd discrimineren? Mag je baas weten dat je weinig sport, of alleen al dat je regelmatig een gevulde koek pakt tijdens de pauze, als dat betekent dat je misschien ook zo’n fitnessarmband krijgt opgedrongen? Wat vind je van cookies die bijhouden welke websites je bezoekt en wat je dan precies bekijkt, zodat je op maat gesneden advertenties te zien krijgt?

Toch is het maar goed ook dat het niet enkel en alleen aan organisaties zelf is of ze hier een goede beoordeling over maken. Het recht biedt al met al vrij weinig houvast, waardoor het belangrijk is dat deze beoordelingen niet alleen door de organisatie zelf worden gemaakt. De wet regelt het zo dat hier meerdere mensen of instanties bij zijn betrokken. Organisaties maken een eigen beoordeling , maar jij kan die beoordeling zelf betwisten. Je kan opvragen wat er precies met je persoonsgegevens wordt gedaan en vervolgens een berichtje sturen om te zeggen dat je dat niet wilt. Soms kan het nog makkelijker: je kan in je browser aangeven wat voor cookies je wel of niet accepteert, en op je telefoon bepaal je of een app toegang heeft tot je camera.

De toezichthouder speelt ook een belangrijke rol, nu er allerlei procedures zijn waarlangs ze een oogje in het zeil houden en de regels verduidelijken. Sectoren mogen eigen regels opstellen. En de wetgever kan natuurlijk altijd in een andere wet regelen dat bepaalde gegevens worden bijgehouden (denk weer aan het voorkomen van fraude), of juist niet (bijvoorbeeld vanwege discriminatie).

Niet leeg, wel procedureel

Het is dus zo dat de gegevensbescherming zelf vrij weinig direct verbiedt. Je vindt in de Algemene Verordening Gegevensbescherming geen gedetailleerde regels over de vraag of persoonsgegevens wel of niet mogen worden gebruikt voor nieuwspersonalisatie of algoritmische besluitvorming. Er staat wel in dat organisaties betrokkenen moeten informeren, dat mensen verzet kunnen aantekenen, wat de toezichthouder allemaal mag doen, en wie de regels (beginselen in de Algemene Verordening) dan wel mag uitwerken. Vandaar de indruk dat de Algemene Verordening leeg of zinloos is – alleen maar goed voor die talloze mailtjes over privacy die niemand daadwerkelijk leest, en die cookie banners die iedereen weg klikt. Maar waar deze wet wel voor zorgt, is dat die moeilijke vragen over gegevensverwerking niet alleen worden beantwoord door – om terug te komen op de voorbeelden van hierboven – het uitzendbureau en de werkgever. Je kan zelf verzet aantekenen, toezichthouders kunnen ingrijpen, en het parlement mag altijd nog nadere regels stellen.

Vind je het nog steeds irritant dat je gebombardeerd wordt met privacy policies? Er ligt nu ten minste een hoop verantwoordelijkheid bij bedrijven en overheidsinstanties zelf. Deze verandering is ingevoerd toen duidelijk was dat de meeste mensen geen tijd hebben om regelmatig controle uit te oefenen over hoe hun data wordt gebruikt. Mocht je dit niet helemaal vertrouwen, dan moet je wel zelf actie ondernemen.