DDMA: laat zien dat je serieus bezig bent met de AVG

Het is ver na 25 mei maar de meeste bedrijven voldoen nog niet aan de Algemene Verordening Gegevenbescherming (AVG). Staat de Autoriteit Persoonsgegeven binnenkort op de stoep? Matthias de Bruyne, legal counsel van de DDMA gaf tijdens Emerce Travel een update.

“Eigenlijk begint het nu pas,” zegt De Bruyne. “We hebben twee jaar gehad om ons voor te bereiden op de AVG en die is op 25 mei ingegaan dus nu wordt er gehandhaafd. Uit heel veel onderzoeken komt naar voren dat niemand er echt helemaal klaar voor is, inclusief de overheid zelf. Iedereen heeft nog werk. De vraag is hoe erg dat is, want het is een proces dat je moet bijhouden. Ik denk dat het belangrijkste is dat je moet kunnen laten zien dat je er al een tijdje serieus mee bezig bent en welke punten nog openstaan.”

Hoe weet de toezichthouder dat je er serieus mee bezig bent? De Bruyne geeft twee tips: “Kijk naar de buitenkant, oftewel zorg dat de informatie voor de consument op orde is en dat je een goed privacystatement hebt. Mensen moeten weten hoe ze hun recht op inzage en om vergeten te worden kunnen uitoefenen.  Zorg daarnaast dat je een verwerkingsregister hebt. Als je dat niet hebt en de toezichthouder belt je morgen om het in te zien, dan heb je je eerste overtreding al te pakken.”

Wat kunnen we precies van de handhaving verwachten? “Dat vind ik lastig om te zeggen. Er kan gehandhaafd worden maar het is natuurlijk niet waarschijnlijk dat er meteen een heel kleine organisatie als eerste aan de beurt is. De toezichthouder heeft een klachtenloket geopend voor consumenten. Je kunt erop rekenen dat die klachten een rol gaan spelen bij de handhaving. Op het moment dat je overlast of irritatie veroorzaakt bij consumenten dan denk ik dat je op aandacht van de toezichthouder kunt rekenen.”

Reisbranche: gevoelige gegevens

De reisbranche moet zich natuurlijk gewoon aan de AVG houden maar er is wel een speciaal aandachtsgebied, zegt De Bruyne. “Je hebt te maken met heel veel gevoelige en bijzondere gegevens, zoals dat iemand in een rolstoel zit, op krukken loopt of een halal maaltijd wil aan boord. Je moet goed zorgdragen voor het verwerken daarvan, dus je hebt heel veel risicoafwegingen waarbij die gevoeligheid een belangrijke rol speelt. En je geeft heel veel gegevens door aan andere landen, ook buiten de EU, dus daar zal je goed over na moeten denken.”

Worden bedrijven straks overspoeld met verzoeken tot inzage en vergetelheid van consumenten? “We hebben bij DDMA een consumentenonderzoek gedaan samen met zusterorganisaties in andere landen en je merkt dat consumenten steeds pragmatischer worden. Ze vinden privacy heel belangrijk maar ze handelen er in de dagelijkse praktijk niet naar. Op social media houden ze er bijvoorbeeld weinig rekening mee. Ze krijgen meer rechten, ze hebben meer mogelijkheden op verwijdering. Het kan zijn dat ze er meer gebruik van gaan maken maar de helft van die rechten bestond al en je zag dat bijna niemand daar iets mee deed. Er zijn dus meer mogelijkheden en als consument zie je misschien een andere cookiemelding. De privacystatements zijn als het goed is iets leesbaarder maar de vraag is natuurlijk of mensen daar überhaupt naar op zoek waren.”