Wanneer je online winkelt, op sociale media post of gewoon een wandeling maakt met een telefoon in je zak, genereer je persoonsgegevens. Dat is het uitgangspunt van een uitleg van Vox Ukraine over Europese bescherming van persoonsgegevens, en het is een bruikbaar kader voor deze gids. Hieronder volgt de AVG uitgelegd voor alledaagse gebruikers: wat de regels omvatten, welke rechten ze je geven, hoe ze worden gehandhaafd en waar je je eigen hulpmiddelen nodig hebt.
Een opmerking over de bronvermelding: het fragment van het Vox Ukraine-artikel dat ons ter beschikking staat is kort, dus dit bericht houdt zich aan de brede, algemeen erkende beginselen van het Europese gegevensbeschermingsrecht en vermijdt specifieke beweringen die verder gaan dan die beginselen.
Wat de AVG betekent voor cookies, apps en locatiegegevens
De Algemene Verordening Gegevensbescherming (AVG) regelt hoe organisaties persoonsgegevens over personen in Europa verzamelen en gebruiken. In de praktijk zijn drie alledaagse gebieden het belangrijkst.
Cookies en trackers. Websites die niet-essentiële trackingtechnologie op je apparaat plaatsen, hebben doorgaans een rechtmatige grondslag nodig, en voor de meeste advertenties en analyses betekent dat het vragen om je toestemming. De cookiebanners die je ziet, zijn hier een zichtbaar resultaat van. De regels zijn bedoeld om de keuze echt te maken, zodat weigeren net zo gemakkelijk moet zijn als accepteren.
App-tracking. Apps die identificatoren, gebruiksgegevens of contactinformatie verzamelen, moeten uitleggen wat ze verzamelen en waarom. Gegevens moeten beperkt blijven tot wat nodig is voor een genoemd doel, en niet worden verzameld voor het geval ze later van pas komen.
Locatiegegevens van telefoons. Locatie kan onthullen waar je woont, werkt en je geloof belijdt, dus er wordt bijzonder zorgvuldig mee omgegaan. Apps moeten een duidelijke reden hebben om erom te vragen, en je moet nee kunnen zeggen of toestemming later kunnen intrekken.
De rode draad is dat organisaties een wettelijke reden nodig hebben om je gegevens te verwerken, en dat ze daar open over moeten zijn.
Jouw rechten onder het Europese gegevensbeschermingsrecht
De AVG is niet alleen een compliance-checklist voor bedrijven. Ze geeft individuen concrete rechten die ze kunnen uitoefenen:
- Inzage: vraag een organisatie of zij jouw gegevens heeft en vraag een kopie aan.
- Correctie: laat onjuiste gegevens corrigeren.
- Wissing: vraag in bepaalde omstandigheden om je gegevens te verwijderen.
- Bezwaar en beperking: maak bezwaar tegen sommige soorten verwerking, zoals direct marketing.
- Overdraagbaarheid: ontvang je gegevens in een bruikbaar formaat zodat je ze elders kunt gebruiken.
- Toestemming intrekken: verander van gedachten nadat je ja hebt gezegd.
Deze rechten zijn alleen nuttig als je ze uitoefent. De meeste bedrijven publiceren een privacycontact of een aanvraagformulier, en een schriftelijk verzoek is een redelijk uitgangspunt.
Juridische kaders blijven ook een actuele politieke kwestie. Onze berichtgeving over het plan van Reform UK om de AVG te schrappen laat zien dat de vorm van het gegevensbeschermingsrecht van land tot land kan veranderen, dus het is de moeite waard om te weten welke regels gelden waar je woont.
Hoe toezichthouders de regels handhaven en waar hiaten blijven
Rechten op papier hangen af van handhaving. Nationale gegevensbeschermingsautoriteiten onderzoeken klachten en kunnen sancties opleggen. Onze uitleg over hoe het tweelaagse AVG-boetesysteem werkt legt uit waarom de vaak genoemde boetebedragen vaak een verkeerd beeld geven van hoe sancties worden vastgesteld.
Grote zaken laten het systeem in werking zien. De Nederlandse Autoriteit Persoonsgegevens besloot Uber een boete van €825 miljoen, ongeveer $966 miljoen, op te leggen, volgens een document dat door Reuters is ingezien, zoals we hebben bericht in ons verslag over de Uber-boete van de Nederlandse toezichthouder.
Toch blijven er hiaten. Een langdurig punt van kritiek is dat handhaving niet gelijkmatig over de lidstaten is toegepast, en daarom hebben we inspanningen gevolgd van EU-toezichthouders om AVG-boetes consistenter te maken. Onderzoeken kosten ook tijd, en de wet werkt pas nadat er iets mis is gegaan. Technisch gezien voorkomt ze niet dat gegevens in de eerste plaats worden verzameld, en ze kan niet alles zien wat er in een app of browser gebeurt. Beweringen zoals die in ons stuk over LinkedIn's Browsergate illustreren hoe verborgen gegevensverzameling voor gewone gebruikers moeilijk te herkennen kan zijn.
Wat dit voor jou betekent
De AVG geeft je een wettelijke aanspraak op je gegevens, maar ze werkt achteraf en is afhankelijk van het optreden van bedrijven en toezichthouders. Ze verbergt je IP-adres niet voor de sites die je bezoekt, versleutelt je verkeer niet op openbare wifi en voorkomt niet dat een toegestane app locatiegegevens leest die je al hebt toegestaan.
Daar komen persoonlijke hulpmiddelen in beeld. Een VPN kan je verbinding versleutelen en je IP-adres maskeren voor de sites die je bezoekt, en end-to-end versleutelde berichten beschermen de inhoud van gesprekken. Deze hulpmiddelen vervangen geen wettelijke rechten. Een VPN voorkomt ook niet dat een website waarop je inlogt weet wie je bent, en verwijdert geen gegevens die een bedrijf al heeft. Zie wet en technologie als elkaar aanvullende lagen.
Praktische stappen om je gegevens te beschermen buiten de wet om
- Controleer app-machtigingen. Stel locatietoegang in op "tijdens gebruik" of "nooit" voor apps die het niet nodig hebben, en verwijder machtigingen voor apps die je zelden opent.
- Weiger niet-essentiële cookies. Gebruik de weiger- of beheeropties op cookiebanners en wis cookies regelmatig.
- Stuur een gegevensverzoek. Kies een dienst die je veel gebruikt en vraag welke gegevens zij over je heeft. Vraag om verwijdering van accounts die je niet meer gebruikt.
- Gebruik versleuteling. Houd apparaten up-to-date, schakel apparaatversleuteling in, gebruik sterke unieke wachtwoorden met een wachtwoordmanager en schakel tweefactorauthenticatie in.
- Overweeg een VPN als één laag. Het kan blootstelling op onbetrouwbare netwerken verminderen, maar het is een aanvulling op je wettelijke bescherming, geen vervanging.
De kern van de zaak
De AVG uitgelegd voor alledaagse gebruikers komt hierop neer: de wet geeft je rechten met betrekking tot cookies, app-tracking en locatiegegevens, en toezichthouders kunnen ze handhaven, maar er blijven hiaten in snelheid en consistentie. Neem deze week een paar minuten de tijd om je privacyinstellingen te controleren en een van je gegevensrechten uit te oefenen. Lees daarna onze gids over hoe AVG-boetes werken om te zien hoe handhaving in de praktijk uitpakt.
