Stichting Bits of Freedom lanceert een nieuwe tool die het consumenten een stuk eenvoudiger moet maken om AVG-aanverwante vraagstukken bij bedrijven te deponeren. 'My Data Done Right' baant de weg alvast vrij voor het sturen van verzoeken naar Albert Heijn, Hema en Aldi.
Die verzoeken kunnen variëren van het opvragen van klantgegevens die bedrijven, organisaties of digitale platforms in bezit hebben, tot het corrigeren, exporteren of verwijderen daarvan.
Gebruik van rechten
Sinds de inwerkingtreding van de Algemene Verordening Gegevensbescherming op 25 mei zijn bedrijven verplicht transparant te communiceren over hun procedures omtrent het opslaan van informatie over hun klanten. 'Deze rechten gaan pas echt leven als je hier eenvoudig gebruik van kan maken', vindt Bits of Freedom, dat de tool toegankelijk wil maken voor zoveel mogelijk mensen in de Europese Unie.
Wie 'My Data Done Right' opstart, krijgt algauw suggesties aangereikt van partijen waaraan een informatieverzoek gestuurd kan worden: Facebook, Google en ING, maar ook retailers Albert Heijn, Hema en Aldi. Met enkele klikken verstuurt de consument een data-opvraag, verzoek tot wijziging of verwijdering van gegevens of een reminder voor een al lopend verzoek.
AVG-proof
De introductie van de tool betekent een vereenvoudiging op AVG-vlak aan de zijde van consumenten; dat betekent nog niet dat de bedrijvensector daar volledig op voorbereid is. Vijf maanden na het ingaan van de vernieuwde privacywetgeving zijn veel, maar nog niet alle retailers compliant, ziet Thomas van Essen, partner bij SOLV Advocaten. 'Ik denk dat er nog steeds veel onduidelijkheid heerst en dat nog niet alle partijen klaar zijn met de manier waarop ze AVG-verzoeken intern aanvliegen.'
Aan de achterzijde
Veel bedrijven zijn aan 'de voorkant' AVG-proof: privacy statements zijn bijgewerkt en contactpunten voor vragen zijn aangegeven. Maar wat gebeurt er als klanten daadwerkelijk een verzoek doen tot inzage in over hen opgeslagen data of een beroep doen op het recht vergeten te worden? 'Bedrijven krijgen volgens de wet een maand de tijd om met een antwoord klaar te staan', zegt Van Essen.
In de praktijk blijkt dat niet altijd even gemakkelijk. 'Sommige klantgegevens kunnen bedrijven probleemloos verstrekken, maar als het om bijzondere gegevens gaat, moet de opvrager zich in sommige gevallen eerst legitimeren. Vervolgens moeten verzoeken gefilterd worden, want er zitten ook aanvragen tussen die eigenlijk gaan om het opzeggen van nieuwsbrieven of accounts. Iemand binnen de organisatie moet ervoor zorgen dat de juiste persoon het verzoek in behandeling neemt.'
Procedures
Een stukje van dat proces kan geautomatiseerd worden, bijvoorbeeld met een ontvangstbevestiging per mail of met een wederverzoek tot identificatie. 'Maar het uitsorteren en terugkoppelen kost veel werk en dus veel tijd', benadrukt Van Essen. 'Bedrijven doen hard hun best om dat voor elkaar te krijgen, want naast het willen voldoen aan de wet en de wens van hun klanten is het natuurlijk vervelend als een verzoek in een klacht ontaardt.'
Hoewel de door Bits of Freedom gepresenteerde tool een stukje van dat sorteerwerk uit handen kan nemen, verlaagt die tegelijkertijd de drempel voor consumenten een AVG-gerelateerd verzoek in te dienen. Moeten retailers daardoor vrezen voor een extra druk op de wellicht nog wankele privacyprocedures? Van Essen: 'Zo'n vaart zal het niet lopen. Hoe soepeler het proces is, hoe meer je aankunt.'
Wellicht wel belangrijk om te vermelden, een inzageverzoek hoeft niet per definitie alle gegevens te bevatten die opgeslagen zijn. Wat ik daarmee bedoel is dat het in veel gevallen bijvoorbeeld voldoende is om een overzicht te geven van welke gegevens opgeslagen worden, zonder de complete database te verstrekken.
In de praktijk kun je bijvoorbeeld aangeven dat je alle klantcorrespondentie 3 maanden opslaat. Je hoeft dan niet alle e-mailtjes bij te voegen, maar het is voldoende om dit aan te geven.
Dit maakt het afhandelen van dergelijke verzoeken al een stuk eenvoudiger.