Vanaf 25 mei geldt een nieuwe Europese privacywet en moeten bedrijven en

instanties duidelijker en veiliger met persoonsgegevens omgaan. Wat houdt de

wet in, en wat zijn de mogelijke gevolgen?

Op 27 april 2016 werd door het Europees Parlement en de Raad van Europa de General Data Protection Regulation (GDPR) ondertekend, in het Nederlands de Algemene verordening gegevensbescherming (AVG). In de basis stelt de wet dat het straks voor gebruikers glashelder moet zijn welke data bedrijven, instanties en sites over hen willen hebben, of al hebben opgeslagen. Het gaat om persoonlijke data in de breedste zin: naam, adres, foto’s, e-mailadres, vingerafdruk, medische gegevens, IP-adressen en nog veel meer. Ook moet precies duidelijk worden gemaakt waar die gegevens voor gebruikt worden, en hoe ze zijn opgeslagen. Als gebruikers dat willen, moeten de bedrijven hun klanten inzicht bieden in hun gegevens, die op verzoek aanpassen, verwijderen of overdragen aan een ander bedrijf wanneer consumenten bijvoorbeeld overstappen van energiebedrijf of telefoonprovider. De rechten gelden voor alle EU-burgers. Alle bedrijven die in de EU diensten aanbieden moeten aan de regels voldoen, van Facebook en Google tot de plaatselijke voetbalclub en bank.

Wat verandert er voor Europeanen?

Zo simpel als de insteek van de wet, zo divers zijn de gevolgen. Zo legt de EUop deze pagina aan burgers uit wat er straks verandert, aan de hand van een heleboel praktijkvoorbeelden. Zoals: Mogen de persoonsgegevens van kinderen worden verzameld? Antwoord: Nee, tenzij ouders daar toestemming voor geven. Of: Kan ik een onderneming of organisatie vragen om mijn persoonsgegevens te wissen? Antwoord: Ja, bijvoorbeeld wanneer de gegevens niet langer nodig zijn of als gegevens op onwettige wijze zijn gebruikt. De gemiddelde burger profiteert echter automatisch van veel gevolgen van de AVG. "De wet is vooral gericht op bedrijven", aldus Bibi van den Berg, hoogleraar Internet en Openbaar Bestuur aan de Universiteit Leiden. "Zie de regels als de autogordels voor het internet: die waren vroeger ook niet verplicht, maar dat is nu ondenkbaar." We zetten een paar voorbeelden van veranderingen op een rij waar de meesten geen omkijken, maar wel baat bij hebben: Van bedrijven wordt verwacht dat zij data op een behoorlijke manier beveiligen, en bij een datalek bestaat er een meldplicht. In het verleden werden datalekken met persoonsgegevens soms niet gemeld, bijvoorbeeld omdat bedrijven bang waren voor de slechte publiciteit door zo’n melding. Bedrijven moeten straks duidelijk toestemming vragen voor het gebruik van gegevens, en helder en begrijpelijk uitleggen waar ze die gegevens voor gaan gebruiken, wie ze te zien krijgt, waar de gegevens bewaard worden en hoelang. Dat mag niet meer worden weggemoffeld in kleine lettertjes of paginalange gebruiksvoorwaarden. Bedrijven moeten beknopt, transparant en in eenvoudige taal uitleggen waar ze data voor nodig hebben. Inschrijfformulieren mogen niet meer met standaard aangevinkte hokjes worden aangeboden, bijvoorbeeld het hokje 'Ja ik wil op de hoogte gehouden worden van nieuwe producten'. Dat 'trucje' gebruikten bedrijven jarenlang om reclame naar klanten te sturen, die daar nooit om hebben gevraagd. Nadrukkelijke toestemming van de gebruiker is onder de nieuwe wet vereist. Toestemming is in sommige gevallen ook nodig om leden van bestaande nieuwsbrieven te blijven e-mailen. Sommige bedrijven hebben die nadrukkelijke toestemming al gevraagd, en kunnen klanten blijven maken. Maar andere bedrijven zullen burgers nog nadrukkelijk toestemming moeten vragen om ook na 25 mei te blijven mailen, als zij niet kunnen bewijzen dat burgers al nadrukkelijk toestemming hebben gegeven voor het gebruik van hun adres. Die bedrijven vragen hun klanten bijvoorbeeld in mailtjes of zij hen mogen blijven mailen. Doet de ontvanger niets, dan moet zijn adres automatisch uit de mailinglijst verwijderd worden. Bepaalde gegevens mogen standaard niet meer gevraagd of verwerkt worden. Het gaat dan om zaken als ras of etnische afkomst, politieke opvatting, religieuze of levensbeschouwelijke overtuiging, biometrische en medische gegevens en seksueel gedrag of seksuele geaardheid. De gegevens mogen wel worden verwerkt als de gebruiker die zelf openbaar maakt: Instagram hoeft bijvoorbeeld geen foto's te verwijderen waarop mensen hun religie of seksuele geaardheid openbaar maken.