Niet te veel paniek zaaien maar aan de slag met AVG

Is Nederland klaar voor de Algemene Verordening Gegevensbescherming (GDPR) die in 2018 van kracht wordt? Gerrit-Jan Zwenne, advocaat-partner bij Brinkhof in Amsterdam en hoogleraar Recht en Informatiemaatschappij bij eLaw@Leiden, is er niet zeker van. ‘Ik zie te vaak dat de impact van de nieuwe wetgeving wordt onderschat.’

Hoe staan we in Nederland ervoor met de opvolger van de Wet Bescherming persoonsgegevens?

‘Duidelijk is er dat er nog heel veel moet gebeuren. Je ziet ook dat gevoel van urgentie inmiddels wel in het land wel doordringt, de meeste cursussen zitten vol. Er is veel onduidelijk over wat ons staat te wachten. Vooral bij de gemeenten en meer in algemene zin de publieke sector, zoals bijvoorbeeld bij de jeugdzorg. Van belang is dat juist bij de samenwerking met alle ketenpartners de bescherming van persoonsgegevens ingewikkeld kan zijn. Op dit gebied moet er nog veel gebeuren.

Het begint met inzichtelijk maken wat er wordt gedaan met persoonsgegevens. Waar het om gaat is dat men zich realiseert dat men verantwoordelijk is voor de bescherming van persoonsgegevens en dat men moet kunnen aantonen dat dat inderdaad gewaarborgd is. En dat moet zijn geregeld in de eigen organisatie, maar ook bijvoorbeeld in het kader van aanbestedingen.

‘De DPO kan bij wethouder of directie
met de vuist op tafel slaan’

Wat is de volgende stap?

Een eerste stap zal vaak zijn het aanstellen van een functionaris voor de gegevensbescherming of FG, ook we aangeduid als data-protection officier of DPO. Deze man of vrouw moet toezien op de naleving van de regels in de eigen organisatie. En als het moet kan hij of zij bij de wethouder of directie met de vuist op tafel slaan. Daarbij kan helpen dat er substantiële boetes kunnen worden opgelegd voor niet naleving.

We spreken dan over bedragen van twintig miljoen euro of vier procent van de jaaromzet. En vergeet daarbij niet daar bij de negatieve publiciteit en lastig te herstellen imagoschade. Je mag verwachten dat de noodzaak van een goed privacy- en beveiligingsbeleid daarmee wel duidelijk is.’

Toch gaf u ook eerder aan dat er waarschijnlijk eerst ongelukken moeten gebeuren?

Een ‘wake-up call’ kan nodig zijn. Een groot datalek waar in de pers aandacht wordt gegevens kan geweldig bijdragen aan de bewustwording. Maar het heeft ook weinig zin om paniekerig te doen. Ik zie soms dat adviseurs geneigd zijn de risico’s wat aan te zetten, omdat dat goed is voor hun business-case. Daar hou ik niet van. In de cursussen en congressen merk ik dat er nogal wat verwarring is over wat mag, en wat niet mag, en wat er gaat komen.

Het is belangrijk dat we ons vooral gezond verstand gebruiken en aan de slag gaan. Er moet wellicht van alles worden aangepast in de bedrijfsvoering en de organisatie. en er moeten ongetwijfeld veel mensen worden opgeleid. Maar ondoenlijk is dat allemaal zeker niet.’