De kosten en inspanningen om aan de eisen van Algemene verordening gegevensbescherming (AVG) te voldoen liggen niet volledig op het bord van Europese bedrijven, zo stelt demissionair minister Dekker voor Rechtsbescherming. Wel erkent de minister dat het voor kleine bedrijven lastig kan zijn om te bepalen of bijvoorbeeld Amerikaanse cloudleveranciers aan de AVG voldoen of daarmee aangepaste voorwaarden af te spreken.

Dekker reageerde op Kamervragen van PvdA-Kamerlid Kathmann over berichtgeving dat een meerderheid van de Nederlandse bedrijven niet aan de AVG voldoet. Een belangrijke reden is dat de bedrijven gebruikmaken van Amerikaanse clouddiensten. "Wat vindt u ervan dat kosten en inspanningen om de AVG-wetgeving op te volgen volledig op het bord komen te liggen van Europese bedrijven, terwijl die in hoge mate afhankelijk zijn van niet-Europese techgiganten?", vroeg Kathmann.

Volgens Dekker is dat niet helemaal het geval. Bedrijven die niet in de EU gevestigd zijn maar wel door bedrijven hier worden ingeschakeld om gegevens te verwerken moeten ook aan de AVG voldoen. "Al met al kent de AVG dus een systeem waarin de verantwoordelijkheden en verplichtingen verdeeld zijn over betrokken partijen", stelt de minister.

Onderhandelingspositie

Het PvdA-Kamerlid wilde verder van Dekker weten of hij het ermee eens is dat Nederlandse bedrijven een te slechte onderhandelingspositie hebben tegenover Amerikaanse techgiganten op het gebied van de implementatie van AVG-maatregelen. Daar kan de minister zich in vinden. De standaardcontracten van leveranciers bieden niet altijd de noodzakelijke garanties en de grote spelers zijn niet altijd bereid om het individuele contract aan de wensen van de afnemer aan te passen, laat hij weten.

Een bijkomend nadeel volgens Dekker is dat bedrijven soms veel moeite moeten doen om uit te zoeken hoe een dienst van de leverancier precies werkt en af aanvullende contractsbepalingen nodig zijjn. "Als vervolgens wordt geconcludeerd dat de leverancier geen geschikte verwerker is omdat deze onvoldoende garanties biedt en daar niets aan wil veranderen, is het gelet op het beperkte aantal aanbieders, maar zeer de vraag of er een geschikt alternatief beschikbaar is", merkt de bewindsman op.

De minister voegt dat de Rijksoverheid het wel gelukt is om AVG-maatwerk af te dwingen in relatie met een leverancier van clouddiensten. Op dit moment wordt gekeken om deze aanpak uit te breiden naar andere strategische leveranciers van de Rijksoverheid. "Ik verwacht dat leveranciers eventuele geconstateerde risico's serieus nemen en met de Nederlandse overheid zullen werken aan het gezamenlijk aanpakken daarvan", stelt Dekker.