Nieuwe EU regels databescherming in aantocht

De lidstaten van de Europese Unie hebben op 15 juni 2015 op hoofdlijnen overeenstemming bereikt over de algemene verordening gegevensbescherming. Daarmee is – sneller dan door velen verwacht – een belangrijke stap vooruit gezet naar gelijkschakeling van de regels op het gebied van bescherming van persoonsgegevens in de Europese Unie.

“Personal data is the new oil of the Internet and the new currency of the digital world”, zo constateerde voormalig EU commissaris Meglena Kuneva in 2009. En dat voorspelde al dat er ‘oorlog’ over gevoerd zal worden. Geen enkele ontwerpverordening in de geschiedenis van de Europese Unie heeft tot meer voorgestelde wijzingen geleid dan deze: 3.999, om precies te zijn.

Verordening vervangt huidige Privacyrichtlijn uit 1995

Met het nu bereikte compromis is het einde van deze strijd nog niet in zicht: in de verdere uitwerking zullen tussen de betrokken instellingen (de Europese Commissie, de Raad van Europese Unie en het Europese Parlement) nog heel wat ‘noten moeten worden gekraakt’. Indien alles volgens plan verloopt, zal dit begin 2016 rond zijn en wordt de verordening op zijn vroegst begin 2018 van kracht. De verordening vervangt de huidige Privacyrichtlijn uit 1995, toen het internet nog in de kinderschoenen stond, Google en Facebook nog niet bestonden en een ‘cookie’, nog gewoon een koekje op zijn Engels was .

Wat is het doel van de algemene verordening gegevens-bescherming?

Het doel van de verordening is tweeledig: zij moet personen een betere bescherming van hun persoonsgegevens bieden en voor het bedrijfsleven de kansen op de digitale interne markt vergroten.

Betere bescherming van persoonsgegevens

Enkele hoofdlijnen van de verhoogde bescherming die de verordening zal gaan brengen zijn:

de verplichting voor verwerkers van persoonsgegevens om verantwoording af te leggen omtrent de maatregelen die ze treffen om de privacy te beschermen (‘accountability’);
forse verhoging van de sancties op privacy schendingen, waaronder boetes tot maximaal 2% van de jaaromzet;
de regels zullen niet meer alleen van toepassing zijn op verwerkers van persoonsgegevens die in de EU zijn gevestigd, maar ook op buiten de EU gevestigd verwerkers die producten verkopen of diensten verlenen aan EU inwoners.

Kansen voor bedrijfsleven op digitale interne markt

De tweede doelstelling onderstreept dat ook oog bestaat voor de economische kansen en voordelen van de ‘nieuwe olie’ en Big Data. Een aantal op dit moment – op grond van de Privacyrichtlijn - gehanteerde uitgangspunten verdragen zich minder goed met de benutting van deze kansen. In het bijzonder het principe van ‘doelbinding’ (‘purpose limitation’): gegevens mogen in principe niet voor andere doeleinden worden verwerkt dan waarvoor ze verzameld zijn. De lidstaten zijn van mening dat hiervoor ruimere mogelijkheden moeten komen, dan in de Privacyrichtlijn en de ontwerpverordening voorzien.

Bereid u alvast voor op de nieuwe EU regels databescherming

Met de verordening wordt in ieder geval de huidige Europese ‘lappendeken’ van nationale regels, gelijk getrokken, zodat één uniform speelveld ontstaat door de hele EU. Verwerkt u persoonsgegevens (en dat doet bijna ieder bedrijf), dan doet u er verstandig aan om alvast op de nieuwe regels voor te sorteren en aandacht te besteden aan gegevensbescherming. Dat is niet alleen een wettelijke plicht, maar ook een manier om concurrentievoordeel te behalen.