De Algemene Verordening Gegevensbescherming (AVG) is nu ongeveer tien jaar van kracht, en een recente analyse van Compliance Week gaat opnieuw in op een vraag die de wet al sinds de invoering achtervolgt: werkt de AVG-handhaving overal waar deze van toepassing is eigenlijk op dezelfde manier? Volgens het rapport is het antwoord nog steeds nee. Tien jaar later blijven verschillen in hoe individuele EU-landen privacyschendingen aanpakken en bestraffen een hardnekkig probleem, een probleem dat echte gevolgen heeft voor de mensen die de wet zou moeten beschermen.

Een decennium AVG: één wet, 27 verschillende handhavers

De AVG is opgezet als één geharmoniseerd regelboek voor alle EU-lidstaten, maar werd nooit gehandhaafd door één centrale toezichthouder. In plaats daarvan heeft elk land zijn eigen nationale toezichthoudende autoriteit voor gegevensbescherming, verantwoordelijk voor het onderzoeken van klachten, het controleren van bedrijven en het opleggen van boetes binnen de eigen grenzen. Voor grensoverschrijdende zaken, zoals bij een multinationale techonderneming die in de hele EU actief is, wordt doorgaans een "leadtoezichthouder" aangewezen en verloopt de coördinatie via de Europese Toezichthouder voor gegevensbescherming.

Op papier maakt deze structuur lokale expertise en toegankelijkheid mogelijk, zodat inwoners van elk land een toezichthouder hebben die hun taal spreekt en hun nationale juridische context begrijpt. In de praktijk levert dit gedecentraliseerde model, zoals de analyse van Compliance Week nogmaals benadrukt, ongelijke resultaten op. Sommige toezichthouders zijn beter gefinancierd, assertiever en sneller in actie dan andere. Die ongelijkheid betekent dat de sterkte van je AVG-bescherming deels kan afhangen van waar het bedrijf dat je gegevens verwerkt toevallig zijn hoofdzetel heeft of waar jij toevallig woont.

Het is geen nieuwe kritiek. Privacyvoorvechters en juristen hebben dit door de jaren heen herhaaldelijk aangekaart, en het feit dat het een decennium na de inwerkingtreding nog steeds wordt benadrukt, suggereert dat het niet volledig is opgelost. Een verordening is maar zo sterk als de handhaving ervan, en wanneer de handhaving aanzienlijk verschilt van de ene lidstaat tot de andere, wordt de belofte van gelijke bescherming in de hele EU in de praktijk moeilijker te garanderen.

Waarom handhavingsverschillen ertoe doen voor gewone gebruikers

Inconsistente handhaving is niet alleen een abstract nalevingsprobleem voor juridische bedrijfsteams. Het heeft praktische gevolgen zodra er iets misgaat. Denk aan wat er gebeurt na een datalek: een bedrijf is wettelijk verplicht om betrokkenen en toezichthouders op de hoogte te stellen, maar hoe snel en grondig die melding wordt opgevolgd en of de bevoegde toezichthouder daadwerkelijk verantwoording afdwingt, kan sterk verschillen naargelang welk land de zaak behandelt.

Een recent voorbeeld illustreert wat er op het spel staat wanneer bescherming faalt. Berichtgeving over de Stormous-ransomwareaanval op een Nederlands kerknetwerk liet zien hoe snel gevoelige persoonsgegevens, in dit geval verbonden aan een religieuze organisatie in Nederland, kunnen uitlekken zodra aanvallers een netwerk binnendringen. Incidenten als deze onderstrepen waarom consequente, goed gefinancierde handhaving belangrijk is: bij een datalek bepaalt de kracht en snelheid van de toezichthoudende reactie vaak of slachtoffers echte antwoorden krijgen, of getroffen organisaties hun beveiligingshouding verbeteren en of toekomstige incidenten überhaupt worden afgeschrikt.

Wanneer handhaving sterk is, leiden inbreuken tot onderzoeken, boetes en publieke verantwoording die organisaties richting betere gegevenspraktijken duwen. Wanneer handhaving achterblijft, of dat nu komt door onderbezetting, achterstanden of uiteenlopende nationale prioriteiten, verzwakt het afschrikkende effect en zijn individuen de volgende keer dat er iets misgaat minder beschermd.

Wat dit voor u betekent

Als u in de EU woont of zaken doet, geeft de AVG u nog steeds betekenisvolle rechten: het recht om inzage in uw gegevens te vragen, om verwijdering ervan te verzoeken en om transparantie te eisen over hoe ze worden gebruikt. Maar de kernbevinding van het rapport is een nuttige herinnering dat deze rechten niet perfect uniform worden gehandhaafd, dus het loont om proactief te zijn in plaats van ervan uit te gaan dat het systeem problemen altijd voor u oplost.

Een paar praktische stappen kunnen helpen de kloof te dichten tussen de bescherming die in de wet staat en de bescherming die u dagelijks daadwerkelijk ervaart:

  • Oefen uw AVG-rechten rechtstreeks uit bij bedrijven in plaats van te wachten tot toezichthouders namens u optreden.
  • Let op datalekmeldingen en volg ze op, aangezien niet elke reactie van een toezichthouder even snel of grondig is.
  • Gebruik sterke, unieke wachtwoorden en schakel tweefactorauthenticatie in, want technische waarborgen zijn niet afhankelijk van de toezichthouder in welk land dan ook.
  • Overweeg privacytools zoals een VPN of versleutelde communicatie wanneer u met gevoelige informatie werkt, vooral als u onzeker bent over hoe streng uw gegevens verderop worden beschermd.

De kern van de zaak

Tien jaar nadat de AVG wet werd, heeft het kader de basisnorm voor gegevensbescherming in Europa onmiskenbaar verhoogd en privacyregulering tot ver buiten de EU-grenzen beïnvloed. Maar de analyse van Compliance Week is een actuele herinnering dat een wet slechts zo effectief is als haar zwakste handhavingsschakel. Zolang de handhaving tussen lidstaten niet consistenter wordt, zullen individuen ongelijk blijven profiteren van de bescherming die de AVG moest garanderen. De meest betrouwbare koers is voorlopig om kennis van uw wettelijke rechten te combineren met verstandige persoonlijke beveiligingsgewoonten, in plaats van uitsluitend op toezichthouders te vertrouwen om de kloof te dichten.