AVG na Acht Jaar: Lessen en Wat Komt

Acht Jaar van ‘s Werelds Meest Invloedrijke Privacywet

Op 25 mei 2018 trad de Algemene Verordening Gegevensbescherming in werking in de Europese Unie. Acht jaar later is de AVG de meest invloedrijke technologieregulering in de geschiedenis geworden. Sinds de handhaving begon, hebben Europese gegevensbeschermingsautoriteiten boetes opgelegd van meer dan EUR 4,5 miljard.

Wat Werkte

Mondiale standaardzetting: De meest significante prestatie van de AVG is wellicht de extraterritoriale invloed. De Braziliaanse LGPD, de Japanse APPI-aanpassingen, India’s DPDP-wet — tientallen nationale privacywetten zijn gemodelleerd naar de AVG-principes.

Verandering in bedrijfsgedrag: Vóór de AVG behandelden de meeste bedrijven persoonsgegevens als een vrije hulpbron. De AVG introduceerde verantwoordingsplicht als juridische vereiste.

Bewustzijn van individuele rechten: Het recht op inzage, het recht op wissing, het recht op gegevensoverdraagbaarheid — deze concepten zijn nu algemeen bekend.

Privacy by design: De vereiste dat gegevensbescherming vanaf het begin in systemen wordt ingebouwd heeft de manier waarop producten worden ontworpen beïnvloed.

Wat Niet Werkte

Handhavingsinconsistentie: De grootste structurele zwakte van de AVG is de afhankelijkheid van nationale gegevensbeschermingsautoriteiten met sterk verschillende middelen en prioriteiten. De Ierse DPC is herhaaldelijk bekritiseerd voor trage onderzoeken.

Cookietoestemmingsmoeheid: De ervaring met cookietoestemmingsbanners is de meest zichtbare — en meest bekritiseerde — uiting van de AVG geworden.

MKB-nalevingslast: Kleine en middelgrote bedrijven hebben een onevenredige nalevingslast gedragen.

Hoe AVG 2.0 Eruit Zou Kunnen Zien

Geharmoniseerde handhaving: Versterking van de rol van het Europees Comité voor Gegevensbescherming.

Vereenvoudigde MKB-naleving: Een lichter nalevingsregime voor kleine bedrijven.

Toestemmingshervorming: Browser-niveauvoorkeurssignalen of gestandaardiseerde toestemmingsmechanismen.

AI en geautomatiseerde besluitvorming: Bijwerking van de bepalingen om de realiteit van moderne AI-systemen te weerspiegelen.

De Erfenis na Acht Jaar

De AVG is niet perfect. Maar gemeten aan de kerndoelstellingen — het vestigen van fundamentele rechten over persoonsgegevens, het verantwoordelijk houden van bedrijven en het creëren van een mondiale standaard voor privacybescherming — is de AVG geslaagd. De wereld vóór de AVG bestond uit bedrijven die persoonsgegevens zonder limiet verzamelden. Die wereld bestaat niet meer in Europa. Dat is de erfenis van de AVG.