VN-mensenrechtendeskundigen hebben een duidelijke boodschap afgegeven: privacywetten op papier zijn niet genoeg. In een verklaring uit Genève zeiden de deskundigen dat de onafhankelijkheid van gegevensbeschermingsautoriteiten en effectieve toegang tot de rechter essentieel zijn om het recht op privacy te waarborgen, vooral wanneer machtige technologiebedrijven erbij betrokken zijn. Voor iedereen wiens persoonsgegevens in bedrijfsdatabases staan, is dit punt praktisch. Onafhankelijke gegevensbeschermingsautoriteiten en privacyrechten gaan hand in hand, en wanneer het ene zwak is, lijdt het andere daaronder.

Wat de VN-deskundigen zeiden over toezicht en rechtvaardigheid

De verklaring, gepubliceerd door het Bureau van de Hoge Commissaris voor de Mensenrechten van de VN (OHCHR), draait om een eenvoudig beginsel. In de woorden van de deskundigen: "Privacyrechten kunnen niet alleen door wetten worden beschermd." Het gepubliceerde uittreksel van de verklaring is kort, dus we beperken dit verslag tot wat de deskundigen rechtstreeks hebben verklaard: dat toezichthoudende instanties onafhankelijk moeten zijn, en dat mensen toegang moeten hebben tot de rechter wanneer hun rechten worden geschonden.

Dit zijn twee afzonderlijke waarborgen die samenwerken. Een gegevensbeschermingsautoriteit onderzoekt klachten, controleert organisaties en kan sancties opleggen. Rechtbanken bieden een route voor individuen om rechtsmiddelen te zoeken en om beslissingen van bedrijven of zelfs van toezichthouders zelf aan te vechten. Als een van beide lagen ontbreekt of is aangetast, kan iemand wiens gegevens zijn misbruikt nergens zinvol terecht.

Waarom wetten alleen tekortschieten tegen machtige technologiebedrijven

De meeste landen hebben inmiddels een vorm van gegevensbeschermingswetgeving. Maar een wet is slechts zo sterk als de instellingen die haar handhaven. Grote technologiebedrijven beschikken over enorme hoeveelheden persoonsgegevens en hebben aanzienlijke juridische en financiële middelen. Een individuele gebruiker die tegenover een van hen staat, verkeert in een ongelijke positie.

Dat onevenwicht is de reden waarom de deskundigen onafhankelijkheid en toegang tot het recht benadrukten. Een toezichthouder die onder politieke of commerciële druk staat, is mogelijk terughoudend om grote bedrijven aan te pakken. Een toezichthouder zonder toereikende bevoegdheden of middelen is daartoe mogelijk niet in staat. En als rechtbanken te duur, te traag of ontoegankelijk zijn, geven individuen misschien gewoon op om hun rechten af te dwingen, zelfs wanneer de wet aan hun kant staat.

In de praktijk betekent dit dat de tekst van een privacywet je slechts een deel van het verhaal vertelt. Wie de toezichthouder benoemt, hoe deze wordt gefinancierd, of deze kan optreden tegen zowel overheden als bedrijven, en of mensen beroep kunnen aantekenen tegen zijn beslissingen — dat alles bepaalt hoeveel bescherming er in werkelijkheid bestaat.

Wanneer toezichthouders onafhankelijkheid missen: het voorbeeld van de Indiase DPDP-wet

De Digital Personal Data Protection Act van India biedt een nuttige casestudy van waarom deze zorgen ertoe doen. Toen de wet in 2023 werd aangenomen, richtte veel van het publieke debat zich op datalekmeldingen, sancties en toestemmingsvereisten voor bedrijven. Minder aandacht ging naar hoe de wet zich verhoudt tot transparantieregels. Onze uitleg over hoe Section 44(3) van India's DPDP-wet de toegang onder de RTI-wet aantast onderzoekt hoe één bepaling het vermogen van het publiek om informatie te verkrijgen kan beperken, wat op zijn beurt het toezicht op hoe met gegevens wordt omgegaan beperkt.

De les sluit aan bij de waarschuwing van de VN-deskundigen. Eengegevensbeschermingskader kan toestemmingsregels en sancties bevatten en toch lacunes laten als uitzonderingen de verantwoordingsplicht verzwakken of als het toezicht onafhankelijkheid mist. Lezers die het debat in welk land dan ook volgen, kunnen dezelfde vragen stellen: Staat de toezichthouder los van de instanties die hij controleert? Kunnen burgers beslissingen aanvechten? Zijn er uitzonderingen die de transparantie verminderen?

Wat dit voor jou betekent

Je hebt misschien geen controle over hoe je land zijn toezichthouders inricht, maar je kunt stappen ondernemen om bestaande beschermingen te laten gelden.

  • Gebruik je wettelijke rechten. Afhankelijk van waar je woont, kun je mogelijk toegang vragen tot de gegevens die een bedrijf over je heeft, om correctie of verwijdering verzoeken en bezwaar maken tegen bepaalde vormen van gebruik. Deze verzoeken vormen ook een dossier als je later een klacht moet indienen.
  • Ken je toezichthouder. Zoek uit welke gegevensbeschermingsautoriteit voor jou bevoegd is en hoe je een klacht kunt indienen. Klachten zijn een van de belangrijkste manieren waarop toezichthouders van problemen op de hoogte raken.
  • Bewaar gegevens. Sla privacyverklaringen, correspondentie en schermafbeeldingen op wanneer je van mening bent dat je gegevens verkeerd zijn behandeld. Ze zijn nuttig als een geschil bij een toezichthouder of rechter terechtkomt.
  • Let op uitzonderingen. Wanneer een nieuwe privacywet wordt voorgesteld of aangenomen, kijk dan verder dan de beschermingen in de koppen. Uitzonderingen en zwakke handhavingsbepalingen bepalen vaak hoe goed de wet werkt.
  • Laag je verdediging. Wettelijke rechten werken nadat gegevens zijn verzameld. Technische hulpmiddelen werken daarvoor. Versleuteling, sterke unieke wachtwoorden, tweestapsverificatie en een VPN om te beperken wat je netwerkverkeer prijsgeeft, kunnen verminderen hoeveel gegevens überhaupt worden blootgesteld. Een VPN vervangt geen wettelijke bescherming, en wettelijke bescherming vervangt geen goede beveiligingsgewoonten.

Belangrijkste punten

De verklaring van de VN-deskundigen is een herinnering dat privacy zowel een technisch als een institutioneel vraagstuk is. Onafhankelijke gegevensbeschermingsautoriteiten en privacyrechten zijn van elkaar afhankelijk: sterke wetten hebben toezichthouders nodig die zonder druk kunnen optreden, en individuen hebben rechtbanken nodig die ze realistisch kunnen bereiken.

Voor lezers is de meest nuttige reactie om benaderingen te combineren. Oefen je rechten op toegang, verwijdering en klachten uit, gebruik versleuteling en privacytools om gegevensblootstelling te beperken, en blijf alert op hoe wetten worden geschreven en gehandhaafd. Om te zien hoe zwak toezicht en uitzonderingen zowel privacy als transparantie in de praktijk kunnen uithollen, lees onze casestudy over India's DPDP-wet en het effect ervan op RTI-toegang.