Data Privacy Day: in 2018 barst de storm echt los

Dit is misschien wel de spannendste editie van Data Privacy Day ooit. Wat op 28 januari 1981 begon met een Europees verdrag omtrent het verwerken van persoonsgegevens is verworden tot de GDPR, de Algemene Verordening Gegevensbescherming die al over vier maanden van toepassing wordt. En dan barst de storm echt los.

Vorig jaar noemde mijn collega op deze plaats 2017 het jaar van de stilte voor de storm. En ik denk dat hij gelijk heeft gekregen. Natuurlijk, ook in 2017 stond privacy volop in de belangstelling. Media berichtten over grote datalekken, bedrijven bereidden zich druk voor op de inwerkingtreding van de GDPR en in Brussel werden de eerste contouren zichtbaar van de nieuwe wetgeving rondom cookies, internet tracking en ongevraagde e-mail. Maar in 2018 gaat het echte werk beginnen.

Wat kunnen we verwachten in 2018?

 1. Invoering GDPR

Na jaren van speculatie en uiteindelijk voorbereiding wordt het op 25 mei echt: dan wordt GDPR van toepassing, de General Data Protection Regulation. Hoe de verordening in de praktijk zal uitwerken is nog onduidelijk. Krijgen bedrijven vanaf 25 mei meteen al boetes om de oren, of beginnen de toezichthouders voorzichtig en zijn zij in de eerste maanden nog coulant? De kat uit de boom kijken en afwachten is niet raadzaam: toezichthouders en uiteindelijk ook consumenten zullen dat niet accepteren. Dat er nog wel wat werk aan de winkel is blijkt uit een survey die Deloitte onlangs EMEA-breed uitvoerde: slechts 15 procent van de bedrijven geeft aan volledig compliant te zijn per 25 mei.

 2. Kritischer consumenten en privacy als business enabler

Consumenten worden langzaam maar zeker wakker. Alle media-aandacht voor datalekken, maar ook voor de GDPR maakt ze bewust van de vele gegevens die bedrijven en overheden over hen hebben verzameld. Ze worden kritischer en vragen bedrijven steeds vaker naar hoe zij met persoonsgegevens omgaan. Transparantie hierover zal in 2018 dus nog belangrijker worden, waardoor privacy voor bedrijven ook een business enabler kan worden. Bedrijven kunnen zich onderscheiden van de concurrentie door duidelijk te laten zien dat ze privacy van hun klanten serieus nemen en netjes om te gaan met persoonlijke gegevens. En dat is niet alleen voor potentiële klanten interessant, maar ook voor aandeelhouders en werknemers.

 3. De impact van nieuwe technologieën

Privacy by design is in 2018 belangrijker dan ooit. Ook dit jaar zullen robotisering, artificial intelligence, virtual assistants en andere technologieën zich snel verder ontwikkelen. Waar het vroeger bij de introductie van een nieuwe technologie de vraag was of persoonlijke gegevens wel goed beveiligd waren, zullen nu ook vragen over wat er precies met de data wordt gedaan en wie er zeggenschap over heeft een rol spelen. Als bedrijven of overheden geautomatiseerde keuzes maken, hebben burgers dan iets te zeggen over welke data ze daarvoor gebruiken? Of misschien de overheid? En wat gebeurt er met alle data die robots kunnen zien en horen in hun omgeving? Wie dit soort privacyvraagstukken al in de beginfase van de introductie van een nieuwe toepassing hoog op de agenda zet, kan in een later stadium makkelijker transparant zijn tegenover toezichthouders, consumenten en andere stakeholders.

 4. Actievere toezichthouders

Privacytoezichthouders worden dit jaar nog actiever. Ze vragen – en krijgen – grotere budgetten van nationale overheden om meer mensen aan te kunnen nemen zodat ze hun controlefunctie beter kunnen uitoefenen, zoals politiek en consumenten van ze verwachten. Dat betekent dat het voor organisaties moeilijker wordt om te ontkomen aan controles en dat het urgenter wordt om volgens de regels te handelen.

 5. Definitieve uitspraak Amerikaanse hooggerechtshof in zaak ‘U.S. versus Microsoft’

Naar verwachting komt er nog voor de zomer een uitspraak van het Amerikaanse hooggerechtshof in de zaak ‘U.S. versus Microsoft’, die al sinds 2014 loopt en nauwlettend gevolgd wordt door techbedrijven. De uitspraak kan namelijk grote implicaties hebben voor hun positie. De zaak draait om e-mails die op een server van Microsoft in Ierland staan opgeslagen en waar Amerikaanse opsporingsdiensten inzage in willen. Nadat een federale rechter Microsoft in het gelijk stelde, stapte het Amerikaanse ministerie van Justitie naar het Amerikaanse hooggerechtshof. Wanneer dit uiteindelijk in het voordeel van het ministerie beslist, zou een massaverschuiving van data het gevolg kunnen zijn. Persoonsgegevens van consumenten en bedrijven die buiten de VS zijn opgeslagen, maar wel door een Amerikaans bedrijf, kunnen dan namelijk alsnog door de Amerikaanse autoriteiten worden ingezien: zonder tussenkomst van het land waar de gegevens daadwerkelijk staan en tegen de regels van de GDPR in. De vraag is wat de politiek en consumenten daarvan vinden: gaan zij eisen dat die persoonsgegevens dan buiten het bereik van de Amerikaanse autoriteiten worden opgeslagen?