1

Prof. Dr. Frederik J. Zuiderveen Borgesius
iHub, Interdisciplinary research hub on Privacy, Security and Data Governance
iCIS, Institute for Computing and Information Sciences
Radboud Universiteit, Nijmegen
www.ru.nl/personen/zuiderveen-borgesius-f/

Gespreksnotitie
Open Rondetafelgesprek
‘Twee jaar toepassing van de AVG’
Tweede Kamer, 10:00 – 10:45, 19 november 2020

Geachte heer van Gent, geachte leden van de Tweede Kamer,
Dank u voor de uitnodiging om hier te spreken. Ik focus op drie punten. (i) De
Algemene Verordening Gegevensbescherming (AVG) is een goede regeling.
(ii) Er is echter wel een probleem met handhaving, vooral tegenover grote
techbedrijven. (iii) Het zou goed zijn als de ePrivacyverordening zo snel
mogelijk aangenomen wordt.

1

De AVG is een goede regeling

Ten eerste wil ik benadrukken dat de AVG een goede regeling is. Twee jaar is
vrij vroeg voor een beoordeling van de effectiviteit van de AVG. Toch is al
duidelijk dat veel organisaties hun omgang met persoonsgegevens sterk
verbeterd hebben naar aanleiding van de AVG. Veel organisaties hebben
bijvoorbeeld de beveiliging van gegevens verbeterd.

2

Is de AVG te streng? Nee, de AVG is niet te streng. Soms lezen we in de media
dat bepaalde dingen niet mogen van de AVG. Maar veel van die klachten zijn
gebaseerd op een misverstand. Zo denken sommige organisaties dat de AVG
altijd toestemming eist van de betrokkene voor er iets met zijn of haar
persoonsgegevens mag gebeuren. Dat is niet zo: de AVG kent allerlei
mogelijkheden om persoonsgegevens te gebruiken zonder toestemming van de
betrokkene.1 Ook voor medisch onderzoek biedt de AVG veel mogelijkheden.
De AVG is ook niet te mild. De AVG is genuanceerd, en dat is ook nodig bij
regels over het gebruik van persoonsgegevens. In allerlei gevallen is het logisch
dat er persoonsgegevens verwerkt mogen worden, ook zonder toestemming
van de betrokkene. Natuurlijk is met de AVG niet alles opgelost. Er zullen
privacy-schandalen blijven opduiken. Het recht kan ook niet alles oplossen. Er
worden ook nog moorden gepleegd, terwijl moord al heel lang verboden is.
Samenvattend, we kunnen trots zijn in Europa op de AVG.2 Er zitten ook wel
wat weeffouten in de AVG, en in de komende jaren zullen meer weeffouten
zichtbaar worden. Maar dat is te verwachten bij regelgeving die van toepassing
is technologie die zich blijft ontwikkelen. Eén zo’n weeffout betreft de
handhaving van de AVG tegenover grote techbedrijven van buiten Europe.

2

Handhaving van de AVG tegenover grote techbedrijven moet beter

Er is een probleem met handhaving van de AVG tegenover grote techbedrijven
uit de Verenigde Staten. Kort samengevat hebben veel grote techbedrijven zich
formeel gevestigd in Ierland. De Ierse toezichthouder kan echter nooit in zijn
eentje nagaan of al die grote techbedrijven aan de AVG voldoen. Die bedrijven
bieden veel verschillende diensten aan en introduceren voortdurend nieuwe

1

Zie artikel 6(1) voor de zes mogelijke grondslagen om persoonsgegevens te verwerken.
De secretaris-generaal van de VN, António Guterres, zei in een toespraak dat de AVG als
voorbeeld
kan
dienen
voor
regio's
buiten
de
EU.
https://www.un.org/press/en/2019/sgsm19916.doc.htm
2

3

functies. De gebrekkige handhaving door de Ierse toezichthouder is al vaak
gesignaleerd.
Geen enkele nationale toezichthouder zou al dat werk aankunnen. Er is veel
ervaren personeel en veel technische kennis nodig om te controleren of grote
techbedrijven aan de AVG voldoen.
De AVG bevat een vrij ingewikkeld systeem dat ertoe zou moeten leiden dat
andere nationale toezichthouders invloed kunnen uitoefenen op de Ierse
toezichthouder (de ‘leidende toezichthouder’).3 Maar in de praktijk werkt dit
systeem niet goed.
Het zou goed zijn als de EU een aparte, centrale, toezichthouder instelt voor
grote techbedrijven. Zo’n toezichthouder zou flink wat ICT-specialisten in
dienst moeten nemen. Die toezichthouder zou veel efficiënter kunnen optreden
tegen overtredingen van de AVG die veel Europeanen raken.

3

De ePrivacyverordening moet snel aangenomen worden

Mijn derde punt is dat de ePrivacyverordening snel aangenomen moet worden.
De AVG is namelijk niet het enige Europese instrument met privacyregels. Een
belangrijke Europese regeling is de ePrivacyrichtlijn. De e-Privacyrichtlijn geeft
regels voor de sector elektronische communicatie. 4 De e-Privacyrichtlijn bevat
bijvoorbeeld regels over het communicatiegeheim, commerciële e-mail en spam, en het
gebruik van cookies. 5 U kent de ePrivacyrichtlijn in de praktijk van de vele
toestemmingsverzoeken voor cookies die u tegenkomt op het internet.

3

Zie de artikelen 63 68 AVG.
Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de
verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector
elektronische communicatie (PbEG 2002, L 201/37), laatst gewijzigd door Richtlijn 2009/136/EG.
5
J. van Hoboken & F.J. Zuiderveen Borgesius, ‘Scoping electronic communication privacy rules: data,
services and values’, JIPITEC 2015, afl. 6, p. 198-210.
4

4

Al in 2017 heeft de Europese Commissie een opvolger voorgesteld voor de
ePrivacyrichtlijn. 6 Het voorstek bevat veel goede ideeën. Het Europees
Parlement heeft datzelfde jaar een aantal amendementen voorgesteld, die het
voorstel verder verbeterden. Zo stelt het Europees Parlement voor dat mensen
in één keer kunnen aangeven via hun telefoon of computer dat ze niet gevolgd
willen worden op het internet met cookies of vergelijkbare technieken.7
Sinds oktober 2017 ligt het voorstel echter stil in de Raad van de Europese
Unie. 8 Hier kan Nederland direct invloed uitoefenen, op korte termijn. Het
voorstel zou zo snel mogelijk aangenomen worden, in de versie van het
Europees Parlement.

4

Conclusie

Ik sluit af met drie conclusies. Ten eerste is de AVG een goede regeling. Het is
nog wat vroeg om de balans op te maken, en helemaal om de AVG aan te
passen. Ten tweede moet een oplossing gevonden worden voor het gebrek aan
handhaving van de AVG tegenover grote techbedrijven uit de Verenigde
Staten. Ten derde moet de ePrivacyverordening snel aangenomen worden.

***

6

Proposal for a Regulation of the European Parliament and of the Council, concerning the
respect for private life and the protection of personal data in electronic communications and
repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications),
COM(2017)
10
final,
https://eur-lex.europa.eu/legalcontent/EN/TXT/?uri=CELEX:52017PC0010.
7
Amendement 38, over artikel 10. https://www.europarl.europa.eu/doceo/document/A-82017-0324_NL.html.
8
Legislative Train Schedule, Proposal for a Regulation on Privacy and Electronic
Communications,
https://www.europarl.europa.eu/legislative-train/theme-connecteddigital-single-market/file-jd-e-privacy-reform.