Privacy van een andere planeet

Beeld: Dreamstime

De Autoriteit Persoonsgegevens (AP) – hoewel bij wet aangewezen als officiële waakhond – is niet zo’n partij, nu zij pijnlijk laat zien de weg in privacyland flink kwijt te zijn. Waar gaat het hier om? Vorig najaar slingerde de AP een publicatie de wereld in over – kort gezegd – de vraag wanneer je wel of niet persoonsgegevens mag verwerken. Een heel elementaire vraag voor de dagelijkse praktijk waarin grootschalig persoonsgegevens worden verzameld, opgeslagen en gebruikt. Dat stuk heeft na zijn verschijnen onder kenners van het privacyrecht heel wat tongen losgemaakt. Sterker nog: het heeft begrijpelijke boosheid en verontwaardiging teweeggebracht. Het document bevat juridische kletskoek, waarmee de AP het bedrijfsleven in ons land en privacy-adviseurs inmiddels compleet op het verkeerde been heeft gezet.   

Spierballentaal

De quatsch die de AP heeft geventileerd, begint al in regel twee van het document met het uitgangspunt dat ‘iedere verwerking in beginsel onrechtmatig’ is. Die gedachte lijkt regelrecht te komen uit de duim van Aleid Wolfsen van de AP, of van een van zijn mensen uit zijn juristenteam. Het idee deugt voor geen meter, want wie zegt dat een verwerking van persoonsgegevens in beginsel onrechtmatig is, zegt in wezen ook dat die verwerking in principe verboden is. Wolfsen en de zijnen moeten de Algemene verordening gegevensbescherming (AVG) er nog maar eens op naslaan. Deze Europese wet  bepaalt klip en klaar dat er – los van diverse uitzonderingen – louter en alleen een verbod bestaat voor de verwerking van bepaalde, concreet genoemde categorieën van bijzondere persoonsgegevens, zoals medische en raciale gegevens. Voor alle andere soorten persoonsgegevens kent de AVG zo’n verbod eenvoudigweg niet. De AP tovert dus een vorm van vermeende onrechtmatigheid uit de hoge hoed. Is hier sprake van juridisch dilettantisme of van de bedoeling de Nederlandse samenleving bang te maken? Anyhow, het is trieste spierballentaal! Een nobele gedachte kan ik er niet in ontdekken.

JurisPrudent

Door de toenemende verkokering van ons rechtsstelsel sluiten wetten tegenwoordig zelden naadloos op elkaar aan. En daarmee zadelt nieuwe regelgeving de samenleving op met nieuwe, lastige onzekerheden. Peter van Schelven neemt in iBestuur magazine juridische dilemma’s onder de loep. Deze keer: privacy en de Autoriteit Persoonsgegevens.

Erger dan dat is dat de AP uit het oog verliest met zo’n uitgangspunt te knagen aan haar eigen maatschappelijk draagvlak. En dat is triest voor de velen die oprecht het goede voor hebben met de bescherming van persoonsgegevens. De AP heeft haar verbinding met de samenleving onnodig onder druk gezet, waarmee de privacybescherming op 5-0 achterstand is komen te staan.

Grondslagen

Dat geldt eens te meer voor nog een ander stuitend onderdeel van het document: de grondslagendiscussie. Een bedrijf dat persoonsgegevens wenst te verzamelen, op te slaan of te gebruiken, moet daarvoor, aldus de AVG, een geldige verwerkingsgrond hebben. Dat betreft een ingewikkelde materie.

Geef ik u vrijelijk mijn toestemming om mijn gegevens te verwerken, dan hebt u, algemeen gesproken, een deugdelijke verwerkingsgrond. Heb ik een abonnement op een krant, dan is ook het contractje dat ik met de uitgever heb in dat opzicht voldoende. De uitgever moet tenslotte mijn naam en adres kunnen gebruiken. Voor private partijen die geen akkoord of een contractje hebben, is er nog een derde weg: het beroep op het zogeheten ‘gerechtvaardigd belang’. De AVG noemt die weg uitdrukkelijk. Voor het bedrijfsleven is die weg praktisch gezien dan ook een van de belangrijkste grondslagen voor de verwerking van persoonsgegevens. Iets te eenvoudig gezegd komt het er op neer dat een bedrijf zelf een gedegen en redelijke afweging mag maken tussen de eigen belangen, de belangen van derden en die van de burgers van wie persoonsgegevens verwerkt kunnen worden. Slaat zo’n redelijke afweging uit in het voordeel van het bedrijf, dan heeft het een geldige grond om gegevens te verwerken. Hoewel ik ze niet geteld heb, zijn er in het bedrijfsleven in ons land vermoedelijk miljoenen verwerkingen die op de grondslag van het gerechtvaardigd belang worden uitgevoerd. Zo behoren onder meer de meeste acties van bedrijven op het gebied van kunstmatige intelligentie daartoe.

Winststreven en commercie

In het stuk presenteert de AP haar uitleg over die norm van het ‘gerechtvaardigd belang’. Ik citeer: “Wat (…) niet als een gerechtvaardigd belang kwalificeert, is (…) bijvoorbeeld (…) het enkel dienen van zuiver commerciële belangen, winstmaximalisatie (…).”    Hier is de AP echt van God los. Vrijwel alles wat een normaal bedrijf pleegt te doen en te laten – inclusief zijn geautomatiseerde gegevensverwerking – heeft immers iets van doen met commercie en het streven naar winst. Daar zijn het nu eenmaal bedrijven voor. De facto zijn deze woorden van de AP een poging tot een moordaanslag op het bedrijfsleven. Met één simpele pennenstreek wordt een overgroot deel van de verwerkingen van
persoonsgegevens in de illegaliteit gestort. Je zou bijna vermoeden dat de AP een aardige commissie ontvangt voor ieder bedrijf dat als gevolg van deze juridische kul in de faillissementskamer van de rechtbank overlijdt. En ook los daarvan: de AP lijkt bovendien te miskennen dat er bij de totstandkoming van de AVG in Brussel ooit eerder een tegengesteld standpunt publiek is gemaakt. Dat wat de AP doet deugt juridisch niet.

De AP is van een andere planeet. Met haar oorlogsverklaring aan het bedrijfsleven lijkt het er op dat de AP kantoor houdt op Mars. Het georganiseerde bedrijfsleven zou – harder, luidruchtiger en krachtiger dan tot nu toe – de AP weer op het juiste pad moeten trachten te brengen. Het zou de AP sieren als zij zich meer door Venus, de planeet van de liefde, laat inspireren. Met liefde voor privacy win je stellig meer dan met welke oorlog ook.