AVG/GDPR: schieten we niet door?

Privacy is belangrijk! Allemaal hebben we wel iets te verbergen, toch weten grote bedrijven als Facebook en Google steeds meer over ons.

De Europese Unie wil met nieuwe wetgeving dan ook de privacy in onze internetsamenleving garanderen. Vandaar dat alle ondernemers aan de slag moeten en voor 25 mei moeten voldoen aan de nieuwe wetgeving die beter bekend staat onder GDPR of AVG.

Goed dat er nieuwe privacywetgeving komt, zou je zeggen? Toch zet ik mijn vraagtekens bij de nieuwe wet. Ik leg graag uit waarom het lijkt alsof er met een kanon op een mug wordt geschoten en het maar de vraag is of de mug ook echt geraakt wordt.

Van alle markten thuis

Als kleine internetondernemer moet je tegenwoordig van allerlei markten thuis zijn. Je hebt de rol van marketeer, verkoper, accountant en programmeur. Met steeds meer regels voor de online wereld komt daar de taak als jurist bij. Nu is dat geen probleem wanneer de wetgeving echt de privacy verbetert.

De vraag is alleen of dat gebeurt. Zo is de gemiddelde webwinkel geen privacyverslinder; natuurlijk er worden wat statistieken bijgehouden middels Analytics, er staat een Facebook like button die op de achtergrond het nodige meet en er worden persoonsgegevens opgeslagen. Een verwerkingsovereenkomst met Facebook en Google brengt daar alleen geen verandering in. Op papier is het straks wellicht netjes geregeld, maar of de praktijk echt verandert?

De echte privacyverslinders zijn de grote bedrijven als Google en Facebook: zij combineren diverse databronnen om steeds meer over jou te weten. Zou het niet veel beter zijn om wetgeving te maken die dit bij de bron aanpakt?

Natuurlijk, van de webwinkelier en kleine ondernemer mag je verwachten dat hij een goed privacybeleid heeft, een duidelijke privacy policy en dat er niet zomaar ongevraagd gegevens verzameld worden. Maar is het echt nodig dat de kleine ondernemer met zijn hosting een standaard contract sluit of een verwerkingsregister maakt, dat de volgende maand al weer verouderd is?

Vooral binnen de e-commerce dreigt een onhoudbare situatie te ontstaan. Elke webwinkel werkt samen met diverse partijen en gebruikt een handvol aan softwaretools. Al die partijen moeten informatie uitwisselen om samen te kunnen werken. De consument dreigt in het afrekenproces meerdere toestemmingen te moeten geven en partijen onderling moeten contracten sluiten over de verwerking van gegevens. Vooral op papier verandert er veel, maar of de praktijk echt verandert?

Uiteindelijk worden zowel de consument als de ondernemer er niet beter van. De enige winnaars van dergelijke wetgeving zijn de juristen en organisaties zoals WebwinkelKeur. Natuurlijk helpen we alle nieuwe leden die hulp bij GDPR nodig hebben graag en zijn we blij met de nieuwe leden. Toch gaat mijn e-commerce hart niet harder kloppen van weer nieuwe regels. Liever had ik het anders gezien met regels die beter aansluiten op de praktijk.

De praktijk

Wat er staat te gebeuren is duidelijk: een deel van de partijen doet haar best om voor mei te voldoen. In de praktijk zal blijken dat een groot deel van de webwinkels te laat, onvoldoende of helemaal niet op de hoogte is van de regels. Vervolgens zal er een golf aan (hoge) voorbeeldboetes volgen om de ondernemers de consequenties van het ‘niet voldoen aan de wetgeving’ te laten voelen en een voorbeeld te stellen. Hierna gaan we weer terug naar de praktijk van alledag. Periodiek worden er ondernemers op hun vingers getikt en natuurlijk, we zijn iets strikter met gegevens. Maar of er echt wat verandert?

Laten we dan ook eerst eens betere regels maken voor de echte privacyschenders zoals Google en Facebook en maak eenvoudige, goed te volgen regels voor het mkb. Zo kun je als ondernemer weer doen waar je goed in bent, namelijk ondernemen.