Wat de AVG daadwerkelijk van bedrijven vereist
De Algemene Verordening Gegevensbescherming stelt regels die op papier eenvoudig klinken: organisaties mogen alleen de persoonlijke gegevens verzamelen die ze nodig hebben, moeten mensen duidelijk vertellen hoe die gegevens worden gebruikt, ze goed beveiligen, en individuen het recht geven om hun eigen informatie in te zien, te corrigeren of te verwijderen. Bedrijven die actief zijn in de EU, of die gegevens verwerken van EU-ingezetenen, zijn wettelijk gebonden aan deze vereisten, ongeacht waar het bedrijf zijn hoofdkantoor heeft.
Maar de boetes voor AVG-handhaving in 2024 laten zien dat de kloof tussen het hebben van een privacybeleid en het daadwerkelijk naleven van de AVG enorm kan zijn. Toezichthouders in heel Europa hebben de afgelopen jaren abstracte principes zoals 'gegevensminimalisatie' en 'rechtmatige grondslag voor verwerking' omgezet in concrete wettelijke verplichtingen met echte financiële gevolgen. De omvang en frequentie van recente boetes suggereren dat gegevensbeschermingsautoriteiten de AVG niet langer behandelen als een administratieve oefening. Ze onderzoeken actief hoe bedrijven achter de schermen met gegevens omgaan.
Recente handhavingsmaatregelen: Uber, LinkedIn en verder
Een van de duidelijkste voorbeelden van deze verschuiving is de zaak tegen Uber. De Nederlandse Autoriteit Persoonsgegevens legde het taxibedrijf een boete op van €825 miljoen, een van de grootste AVG-boetes ooit. De boete draaide om de manier waarop Uber omging met gegevens van chauffeurs die automatisch werden gedeactiveerd door de systemen van het platform, wat vragen opriep over transparantie, geautomatiseerde besluitvorming, en of de getroffen chauffeurs een zinvolle manier hadden om beslissingen over hun accounts te begrijpen of aan te vechten.
Rond dezelfde periode kreeg LinkedIn te maken met eigen onderzoek in wat de 'Browsergate'-controverses is genoemd. De beschuldigingen draaiden om claims dat het professionele netwerkplatform heimelijk de geïnstalleerde browserextensies van gebruikers scant, wat vragen opriep over de vraag of gebruikers geïnformeerde toestemming hadden gegeven voor dit soort gegevensverzameling. Of elke beschuldiging uiteindelijk wordt bewezen of niet, de zaak illustreert hoe toezichthouders en privacyonderzoekers zich steeds meer richten op achtergrondgegevensverzameling die gewone gebruikers zelf niet zouden kunnen detecteren.
Deze zaken passen in een breder patroon waarin Europese autoriteiten bedrijven vervolgen voor gegevensverwerkingspraktijken die vroeger misschien onbetwist zouden zijn gebleven. Afzonderlijk benadrukken incidenten zoals de inbreuk op het Litouwse staatsregister, die honderdduizenden records in gevaar bracht en werd gelinkt aan een buitenlandse actor, dat handhaving niet beperkt is tot opzettelijk misbruik van gegevens. Beveiligingsfouten en inbreuken met betrekking tot het Litouwse staatsregister vallen onder dezelfde regelgevende paraplu, aangezien de AVG organisaties vereist om persoonlijke gegevens in de eerste plaats te beschermen tegen ongeautoriseerde toegang.
Hoe deze boetes veelvoorkomende AVG-overtredingen onthullen
Als we kijken naar deze handhavingsmaatregelen, komen een aantal terugkerende thema's naar voren. Ten eerste hebben geautomatiseerde systemen die beslissingen over mensen nemen, zoals accountdeactivaties, duidelijke uitleg en menselijk toezicht nodig, niet alleen algoritmische outputs. Ten tweede trekt gegevensverzameling die onzichtbaar plaatsvindt, zonder directe kennis of expliciete toestemming van de gebruiker, verhoogde toezichtsaandacht, ongeacht de verklaarde bedoelingen van het bedrijf. Ten derde kan het onvoldoende beveiligen van persoonlijke gegevens, hetzij door zwakke interne controles of externe aanvallen, dezelfde omvang van aansprakelijkheid triggeren als het opzettelijk misbruiken van die gegevens.
Wat deze zaken met elkaar verbindt, is dat toezichthouders bedrijven niet alleen bestraffen voor het hebben van slechte beleidsregels op papier. Ze bestraffen bedrijven voor wat er in de praktijk daadwerkelijk met de gegevens van mensen gebeurt, of dat nu een ondoorzichtig algoritme is, een verborgen scantool, of een onvoldoende beschermde database.
Wat AVG-handhaving betekent voor uw persoonlijke gegevens
Voor gewone gebruikers zijn deze handhavingsmaatregelen een herinnering dat de AVG niet alleen theoretische bescherming is. Het geeft u daadwerkelijke rechten, waaronder het recht om te weten welke gegevens een bedrijf over u heeft, het recht om correcties of verwijdering aan te vragen, en het recht om een klacht in te dienen bij een nationale gegevensbeschermingsautoriteit als u denkt dat die rechten zijn geschonden. In Frankrijk is die autoriteit bijvoorbeeld de CNIL, en inzicht in hoe een nationale gegevensbeschermingsautoriteit zoals de CNIL werkt kan u helpen begrijpen waar u terechtkunt als u zorgen heeft over de gegevenspraktijken van een bedrijf in uw eigen land.
De omvang van boetes zoals die van Uber signaleert ook aan bedrijven dat bezuinigen op gegevensbescherming een reëel financieel risico met zich meebrengt, wat op zijn beurt een stimulans creëert voor betere praktijken in de hele sector, zelfs als de naleving nog steeds aanzienlijk verschilt tussen organisaties.
Belangrijkste conclusies
Als u uw eigen gegevens wilt beschermen in het licht van deze handhavingstrends, overweeg dan een paar concrete stappen. Controleer de privacyinstellingen en machtigingen die u hebt verleend aan apps en platforms die u regelmatig gebruikt, vooral die gekoppeld zijn aan uw professionele of financiële leven. Lees privacybeleidsupdates wanneer bedrijven die verzenden, omdat deze vaak veranderingen weerspiegelen die zijn doorgevoerd als reactie op regelgevende druk. En weet dat u het recht heeft om een klacht in te dienen bij de gegevensbeschermingsautoriteit van uw land als u denkt dat een bedrijf uw informatie onjuist heeft behandeld. AVG-handhavingsboetes in 2024, zoals die van Uber, laten zien dat deze klachten kunnen leiden tot echte verantwoordelijkheid, niet alleen symbolische straffen.
