Dataprotectie in 2022: wat zien en verwachten de experts?

Wat waren de belangrijkste gebeurtenissen op privacy en dataprotectie gebied van 2021?  

Friederike van der Jagt, Privacy advocaat, Hunter Legal

2021 wordt gekenmerkt door het opleggen van de hoogste privacyboetes die we tot nu toe gezien hebben (Whatsapp en Amazon) en de nieuwe Standard Contractual Clauses. Doorgifte van persoonsgegevens was key. In Nederland zijn de onderzoeken van de Autoriteit Persoonsgegevens (AP) naar de onrechtmatige verwerking van persoonsgegevens door de Belastingdienst in het licht van de toeslagenaffaire en de eerste boete die daarvoor is opgelegd (die meteen ook de hoogste boete is tot nu toe) van groot belang te noemen. Daarnaast is de start van diverse massaschadeclaimprocedures kenmerkend voor 2021.

Kenneth Sleijpen, Privacy Officer, gemeente Sittard-Geleen

De ransomeware pandemie die lijkt te zijn ontstaan. Je zag de impact hiervan op de samenleving. Dit soort incidenten dienen serieus genomen te worden op bestuursniveau van diverse organisaties. Daarnaast vielen de massaclaims ten aanzien van Big Tech wel op. Het mogen nog blijken of dit zijn vruchten zal afwerpen. Als laatste bleek 2021 een recordjaar qua privacy boetes in Europa. Dit is een trend die nog wel doorgaat, lijkt mij zo.

Peter van Schelven, juridisch adviseur, BIJ PETER – Wet & Recht

De belangrijkste gebeurtenissen op privacy en dataprotectie gebied waren voor mij:

• Een uitstekende analyse van de AP over de flagrante en mensonterende schending van de privacy van een groot aantal burgers door de Belastingdienst (zwarte lijst van vermeende fraudeurs).
• Een rijksoverheid, staatssecretaris Vijlbrief, die nogal koeltjes heeft gereageerd op het vernietigende AP-rapport over de Belastingdienst. Hetgeen duidt op bedenkelijk gebrek aan empathie in Haagse kringen,
• De AP is gekapitteld door de Nationale Ombudsman; benedenmaatse afhandeling van klachten. De AP lijkt soms meer bezig te zijn met klagen over het gebrek aan middelen en menskracht dan met een optimale bescherming van burgers,
• De Transavia case en sterk toenemend belang van security als onderdeel van de AVG. Een boete van AP die volledig gebaseerd is op schending van de security-verplichting uit de AVG (art. 32),
• Introductie van nieuwe Stand Contractual Clauses door de Europese Commissie,
• Meer “collectieve schadeclaims” in NL,
• Het wordt moeilijker om privacy-risico’s te verzekeren.

Wat zijn de belangrijkste topics/aandachtsgebieden voor privacy professionals in 2022?  

Friederike van der Jagt, Privacy advocaat, Hunter Legal

Dat hangt ervan af wie je het vraagt. Sommigen zullen met argusogen bekijken of de Wet gegevensverwerking samenwerkingsverbanden het gaat halen of niet, anderen zijn bezig met de massaschadeclaims die in 2022 voor de rechter zullen komen. Beveiliging blijft voor iedereen een aandachtspunt en ondertussen vragen werkgevers zich af of een wetsvoorstel om alcohol- en drugstesten op de werkvloer mogelijk te maken, er gaat komen. Iedereen zal ook nieuwsgierig zijn naar de Verzamelwet gegevensbescherming. Never a dull moment!

Kenneth Sleijpen, Privacy Officer, gemeente Sittard-Geleen

De ethische kant van ons werk. Te vaak wordt het puur juridisch benaderd. Feit dat iets mag, betekent niet dat het wenselijk is. Of het feit dat het juridisch onzeker is, betekent niet dat je overal negatief advies moet geven om risico’s volledig uit te sluiten. Het ethische stuk van wat wel of niet wenselijk is zal in 2022 een grotere rol krijgen in ons werk.

Peter van Schelven, juridisch adviseur BIJ PETER – Wet & Recht

Dit laat zich niet zo makkelijk in 1 allesomvattend iets beschrijven vanwege de grote verschillen tussen privacy professionals. Denk aan: 1) private sector versus publieke sector, 2) grote organisaties (multinationals) versus kleine organisaties en 3) grote verschillen per segment (zorg, financiële sector etc).

Ik zie als algemene tendens wel dat de IT steeds dieper ingrijpt in organisaties, met alle gevolgen vandien op privacy-gebied. Steeds meer organisaties gebruiken SAAS-applicaties en die organisaties hebben op centraal niveau (afdeling IT, afdeling Legal, afdeling Privacy e.d.) niet zelden een heel slecht beeld van de SAAS-applicaties die men in huis heeft en waar die applicaties precies gehost worden (binnen of buiten NL?).

Een andere ontwikkeling: de meeste privacy-professionals zitten slecht in de security en zijn meer van de afdeling papier (beleid, registers, protocollen e.d.). De – terecht – toenemende aandacht van toezichthouders in Europa voor (ernstige) security-incidenten noopt er toe dat privacy-professionals er ook meer aandacht aan geven en niet louter kunnen vertrouwen op de blauwe ogen van CISO’s en security-auditors. 

Hoe zien privacy en gegevensbescherming er over 5 jaar uit? 

Friederike van der Jagt, Privacy advocaat, Hunter Legal 

Dat is koffiedik kijken. Veel zal afhangen van de handhaving van de AVG, zowel publiekrechtelijk als privaatrechtelijk: gaan de massaschadeclaimprocedures die gestart zijn vliegen? Of stranden ze in de voorfase of valt men over het schadebegrip? Zeker is dat privacy een onderwerp is dat steeds op de politieke agenda terug zal keren. 

Kenneth Sleijpen, Privacy Officer, gemeente Sittard-Geleen 

Ik verwacht dat onze digitale rechten steeds meer in lijn komen met onze “offline” rechten. Ons recht is gebaseerd op de fysieke wereld en daardoor is het digitaal zo lastig. Dat terwijl digitalisering in een rap tempo doorzet. De overheid gaat ook een veel grotere rol spelen in de digitalisering. Dit kan in zowel positieve als negatieve zin, dus privacy professionals kunnen hun lol op. 

Peter van Schelven, juridische adviseur , BIJ PETER – Wet & Recht 

Ik verwacht dat: 

• security en privacy steeds meer worden geïntegreerd. De komende NIS 2.0 Directive zal een grotere druk op verwerkers zetten en dus leiden tot een zwaardere contractspraktijk 

• veel onduidelijkheden in de AVG nog steeds aanwezig zijn (bv het bedenkelijke  onderscheid tussen verwerkingsverantwoordelijke en verwerker). Dat is problematisch omdat de ketens in de Cloud veranderen, bijvoorbeeld door de komst van nieuwe spelers in de Cloud met andere rollen dan die van de klassieke Cloud-provider. Er komen bijv. steeds meer “Cloud-brokers”, met verschillende rollen, zoals ‘Service bemiddeling’ (= Cloud broker biedt diensten met toegevoegde waarde of extra functionaliteit bovenop de onderliggende cloud voorziening (voorbeeld I&A beheer of security) aan ‘Service aggregatie’ (= Cloud broker biedt in wezen een nieuwe (vaste) cloudservice aan door meerdere andere services te combineren en samen te voegen tot één aanbod.), ‘Service arbitrage’ (= Cloud broker vergelijkbaar met aggregatie, echter de services die de broker aanbiedt zijn niet vast en kunnen door de klant worden geselecteerd uit meerdere providers). Kortom: de AVG met haar lompe definities gaat steeds meer achter de veranderingen in de technologische werkelijkheid aanlopen. Dat gaat zich wreken in de contractpraktijk. 

• advocaten/juristen met specialisme privacy-recht gaan het in de markt meer en meer verliezen van “all round privacy adviseurs” die in staat zijn multidisciplinair naar het privacyvraagstuk te kijken, Meer dan nu worden andere dan juridische competenties meer en meer van belang: leiderschap, ethiek, verandermanagement, stakeholdermanagement, security-kennis en organisatieverandering.