Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.
Juridische vraag: Het valt me op dat zeer veel websites allerlei persoonlijke gegevens van je vragen, ook als daar evident geen noodzaak voor is (zoals geboortedatum of mobiel nummer). Dit is volgens mij een belangrijke oorzaak van schade bij datalekken. Waarom is er geen wet die organisaties verbiedt dit te verzamelen tenzij met aantoonbare en onderbouwde noodzaak?
Antwoord: Zo'n wet is er al: de Algemene verordening gegevensbescherming (AVG) kent een wettelijke eis tot "dataminimalisatie" (artikel 5(1) onder c). Alle persoonsgegevens die je gebruikt, moeten "toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt". In gewoon Nederlands: je mag het niet verzamelen of hebben tenzij het écht nodig is. En je moet kunnen aantonen (artikel 5(2)) dat je het nodig hebt.
De praktijk is echter weerbarstig. Organisaties en bedrijven vragen van alles, iedereen vult het braaf in en we gaan er maar van uit dat het allemaal goed gaat. Handhaving op dataminimalisatie lijkt vrijwel geheel afwezig. En áls er dan een keer iemand een punt van maakt, dan moet je tot aan het Hof van Justitie om je gelijk bevestigd te krijgen.
(In die zaak ging het over de meneer/mevrouw aanduiding bij het boeken van een treinkaartje. Dus de NS had juridisch volkomen gelijk met haar switch naar "Beste Reizigers!" - het moest van de AVG.)
Tegelijk denk ik ook niet dat alle organisaties bewust kiezen voor massaal datagraaien. Veel webwinkels bijvoorbeeld zouden best af willen van de verplichte meneer/mevrouw op het bestelformulier (of een "wil ik niet zeggen" er bij), maar krijgen dan te horen dat "dat technisch niet mogelijk is" of ontvangen een offerte van duizend euro voor maatwerk. En dat is het natuurlijk ook weer niet waard, vanuit hun perspectief.
Striktere handhaving lijkt me de enige optie. Als ik de baas van de AP was, zou ik een mailtje uitsturen naar alle webwinkels dat er 2000 euro boete volgt als de meneer/mevrouw-keuze op 1 november nog verplicht is. En dat kun je vrij geautomatiseerd checken ook.
Arnoud Engelfriet is ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als chief knowledge officer bij juridisch adviesbureau ICTRecht en blogt dagelijks over internetrecht. Hij schreef onder meer de boeken ICT&Recht en AI&Algorithms, en verzorgt de opleiding tot Certified Cybersecurity Compliance Officer.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.