Sinds de invoering wordt de Algemene Verordening Gegevensbescherming (AVG) van de EU door experts beschouwd als de sterkste verzameling gegevensbeschermingsregels ter wereld. Nu onze online aanwezigheid toeneemt via sociale media, digitaal bankieren en andere middelen, hebben landen over de hele wereld ingezien dat ze niet achterop kunnen raken als het gaat om de bescherming van de persoonsgegevens van hun burgers.
De AVG werd op 24 mei 2016 in Europa aangenomen en werd volledig afdwingbaar op 25 mei 2018. Voortbouwend op eerdere Europese wetten uit de jaren '90, beoogt de AVG de privacywetten inzake gegevens in de hele EU te harmoniseren en haar burgers meer bescherming te bieden via 7 kernbeginselen, waaronder transparantie, doelbinding, juistheid en andere.
Wat de AVG uniek maakt, is dat het toepassingsgebied zich uitstrekt tot buiten de grenzen van de EU, wat betekent dat elke onderneming die persoonsgegevens van EU-burgers verwerkt, onderworpen is aan de Europese wet, ongeacht waar ter wereld zij zich bevindt. Drie jaar na de toepassing ervan, in het derde kwartaal van 2021, bedroegen de AVG-boetes wereldwijd in totaal €1 miljard, wat 20 keer meer is dan het aantal van de eerste twee kwartalen van het jaar samen. De grootste boete in de geschiedenis van de verordening werd in 2021 aan Amazon opgelegd voor een duizelingwekkende €746 miljoen.
De AVG maakt niet alleen een verschil voor de inwoners van de EU, maar inspireert ook andere landen om privacywetten aan te passen of aan te nemen die zijn gemodelleerd naar hun Europese tegenhanger. Van de Braziliaanse LGDP tot de Qatarese Wet nr. 13 van 2016, de AVG bewijst de toonaangevende privacywet ter wereld te zijn.
Hoe is de AVG de standaard voor privacywetten?
Elizabeth Denham, de Britse Information Commissioner, heeft de AVG omschreven als evolutionair in plaats van revolutionair. Hoewel er in verschillende delen van de wereld al privacywetten bestonden, waarbij de Duitse deelstaat Hessen in 1970 de eerste was die er een aannam, heeft de AVG voortgebouwd op hun fundamenten door bepaalde normen aan te scherpen en nieuwe benaderingen van gegevensbescherming te introduceren. Begrippen zoals toestemming van betrokkenen hebben haar onderscheiden van haar voorgangers.
De professoren Chris Jay Hoofnagle, Bart van der Sloot en Frederik Zuiderveen Borgesius hebben de AVG in hun paper uit 2019 “The European Union general data protection regulation: what it is and what it means” omschreven als "de meest ingrijpende regelgevende ontwikkeling in het informatiebeleid in een generatie." Bovendien zijn zij van mening dat de AVG "persoonsgegevens zal brengen in een gedetailleerd regelgevingsregime, dat het gebruik van persoonsgegevens wereldwijd zal beïnvloeden."
Hoewel de AVG verre van perfect is – zoals blijkt uit de kritiek op de vage bepalingen, het gebrek aan richtsnoeren en de dubbelzinnigheid met betrekking tot internationale gegevensstromen – is het momenteel een van de sterkste gegevensbeschermingswetten ter wereld.
Handel met derde landen
Veel landen nemen om ook financiële redenen een soortgelijke wetgeving als de AVG aan. Kleinere landen die handel willen drijven met de EU binnen haar Europese grenzen en niet-Europese ondernemingen zijn verplicht de Europese wetgeving te volgen, wat hun wetgevers ertoe aanzet soortgelijke normen aan te nemen. Hoofdstuk V van de AVG bepaalt dat de doorgifte van persoonsgegevens van EU-onderdanen aan derde landen niet is toegestaan, tenzij de regelgeving van het land als adequaat wordt beschouwd of passende waarborgen worden afgedwongen.
Welke wetgevingen lijken op de AVG?
Hieronder staat een lijst van landen die hun privacywetten inzake gegevens hebben gewijzigd of nieuwe hebben ingevoerd, geïnspireerd door de AVG. Hoewel er verschillen zijn tussen de Europese verordening en deze wetten, worden hieronder enkele overeenkomsten opgesomd.
Land | Naam | Acroniem | Datum | Overeenkomsten |
|---|---|---|---|---|
Qatar | Wet nr. 13 van 2016 | N.V.T. | 13/11/2016 | Recht op verwijdering of correctie van persoonsgegevens en recht op intrekking van toestemming voor persoonsgegevens. Vereiste voor organisaties om bij het ontwerpen en ontwikkelen van producten, systemen en diensten rekening te houden met privacykwesties - privacy by design. |
Mauritius | Data Protection Act | N.V.T. | 15/01/2018 | Rechtmatige verwerking van persoonsgegevens. Recht op toestemming met betrekking tot persoonsgegevens, recht van bezwaar, recht van inzage en recht op rectificatie van onvolledige of onjuiste gegevens. Encryptie en pseudonimisering van persoonsgegevens. |
Verenigd Koninkrijk | United Kingdom General Data Protection Regulation | UKAVG | 23/05/2018 (werd UKAVG na de Brexit) | Verwerking van persoonsgegevens vergelijkbaar met de AVG. Begrip van verwerkingsverantwoordelijken en verwerkers. Bescherming van kindergegevens. Belangrijkste beginselen, rechten en verplichtingen zoals de AVG. |
Nigeria | Data Protection Regulation | NDPR | 25/01/2019 | Definities van gegevensverwerkingsverantwoordelijke en betrokkene vrij gelijkaardig. Gevoelige persoonsgegevens vergelijkbaar in omvang en definitie met de bijzondere categorieën van persoonsgegevens van de AVG. Personen die betrokken zijn bij de gegevensverwerking of het beheer van gegevens moeten beveiligingsmaatregelen ontwikkelen om gegevens te beschermen. Persoonsgegevens moeten worden verzameld voor specifieke, legitieme en rechtmatige doeleinden. |
Oeganda | Data Protection and Privacy Act, 2019 | N.V.T. | 01/03/2019 | Geldt voor alle Oegandese burgers, zelfs als ze niet in Oeganda wonen. Aanwijzing van een functionaris voor gegevensbescherming. Rechten van betrokkenen zoals de AVG. |
Bahrein | Personal Data Protection Law | PDPL | 01/08/2019 | Recht op correctie van onjuiste persoonsgegevens, recht op wissen van persoonsgegevens onder bepaalde voorwaarden en recht van bezwaar tegen geautomatiseerde besluitvorming. |
Kenia | Data Protection Act | N.V.T. | 08/11/2019 | Geldt voor alle bedrijven die gegevens verwerken in Kenia, ongeacht de fysieke locatie. Betrokkenen kunnen het recht op intrekking en het recht op vergetelheid aanvragen. Ze kunnen ook vragen hoe hun gegevens worden gebruikt. Er moet ook een functionaris voor gegevensbescherming worden aangesteld. |
Zuid-Afrika | Protection of Personal Information Act | POPIA | 01/07/2020 | Implementatie van passende technische en organisatorische maatregelen om persoonsgegevens te beschermen. Informatiefunctionaris zoals FGP. Melding van datalekken zoals de AVG. Verplichting om de wet te volgen, zelfs als er geen vestiging in Zuid-Afrika is. Schriftelijke overeenkomsten tussen de betrokkene en de gegevensoperator. |
Brazilië | General Personal Data Protection Law 13709/2018 | LGPD | 18/09/2020 | Geldt voor de verwerking van persoonsgegevens in Brazilië als het doel van die verwerking is om goederen/diensten te leveren of aan te bieden aan inwoners van Brazilië. Toestemming en verwerking zoals de AVG. Rechten van betrokkenen zoals de AVG. |
Nieuw-Zeeland | Privacy Act 2020 | N.V.T. | 01/12/2020 | Buitenlandse entiteiten die zaken doen in NZ zijn onderworpen aan de verplichtingen van de wet, zelfs als ze geen aanwezigheid in het land hebben. De doorgifte van persoonlijke informatie naar het buitenland zonder de uitdrukkelijke toestemming van het individu is niet toegestaan. |
Thailand | Personal Data Protection Act | PDPA | 31/05/2021 | Vergelijkbare definities als de AVG. Verplichting om de wet te volgen voor organisaties die persoonsgegevens verzamelen of gebruiken in Thailand, ongeacht of ze in het land gevestigd zijn. Recht van bezwaar. Informatie die een gegevensverwerkingsverantwoordelijke moet registreren is vergelijkbaar met die beschreven in de AVG. |
China | Personal Information Protection Law | PIPL | 22/11/2021 | Definitie van "persoonlijke informatie" en "verwerking" zoals de AVG. Territoriale reikwijdte strekt zich uit tot Chinese burgers buiten het land. Vereist dat entiteiten een wettelijke basis hebben voor de verwerking van persoonsgegevens. Grensoverschrijdende doorgifte van persoonsgegevens vergelijkbaar met de AVG. |
Wijzigingen
Een aantal landen hebben ook hun reeds bestaande regelgeving inzake de bescherming van persoonsgegevens gewijzigd om concepten uit de AVG op te nemen. Deze omvatten Rusland, Singapore, Chili en Canada.
Hoe inspireert de AVG de Amerikaanse privacywetten?
De regelgeving inzake gegevensbescherming in de Verenigde Staten is een lappendeken van verschillende wetgevingen die onafhankelijk door staten zijn ingevoerd zonder een overkoepelende nationale wet. Volgens de International Association of Privacy Professionals hebben 20 Amerikaanse staten in 2021 hun eigen privacywetsvoorstellen ingediend, waarbij velen inspiratie hebben geput uit de AVG.
De California Privacy Rights Act van 2020 (CPRA), goedgekeurd op 3 november 2020 en die voortbouwt op de eerdere California Consumer Privacy Act van 2018, vertoont verschillende overeenkomsten met zijn Europese tegenhanger. De wet voorziet in rechten met betrekking tot de persoonlijke informatie van kinderen en het gebruik ervan, het begrip verzamelen, overdragen en verwijderen van persoonlijke informatie, en de mogelijkheid van boetes voor datalekken, onder andere. Het wordt beschouwd als gebruikersgericht door verdere rechten en bescherming te verlenen aan de burgers van Californië. De wet treedt in werking in 2023.
In 2023 zal de staat Virginia de Virginia's Consumer Data Protection Act (CDPA) aannemen. De wet verleent consumenten het recht om persoonsgegevens die door een bedrijf zijn verzameld, in te zien, te verkrijgen, te verwijderen en te rectificeren. Het bevat ook de definitie van "gevoelige gegevens" in dezelfde geest als de AVG.
In een peiling uit 2021 van Morning Consult bleek dat 83% van de Amerikaanse kiezers vond dat het aannemen van een nationale privacywetgeving inzake gegevens een "topprioriteit" of "belangrijk, maar lage prioriteit" was.
Wat is de toekomst van gegevensbeschermingswetten?
Met een snel evoluerend technologisch landschap en de wil om de persoonlijke rechten van individuen wereldwijd te beschermen, zullen regelgevingen inzake gegevensbescherming blijven evolueren. De Europese Unie loopt voorop in deze push, met de aankondiging in 2021 van een reeks wetsontwerpen die een aanvulling zullen vormen op de AVG. Deze omvatten onder andere de Digital Governance Act, de Data Act, de Cybersecurity Act en de ePrivacy-verordening. De tijd zal leren welke impact deze wetten op internationaal niveau zullen hebben.
India staat ook op het punt om in de nabije toekomst zijn Data Protection Bill te lanceren. Geïnspireerd door de AVG zijn de overeenkomsten te vinden in de definitie van toestemming en gegevensfiduciair, evenals de termijn die nodig is om een datalek te melden, onder andere. Forbes India heeft kritiek geuit op het wetsvoorstel omdat het "de overheid onbeperkte bevoegdheden geeft om toegang te krijgen tot de gegevens van burgers." Estelle Masse, senior beleidsanalist bij de digitale rechtenorganisatie Access Now, heeft echter in een CNBC-artikel verklaard dat de Indiase regelgeving een sterke internationale impact zal hebben "vanwege het enorme aantal mensen en de rol die dit land zou spelen in een wereldwijde gegevenseconomie."
Nu de wereld verschuift naar een meer digitale realiteit na de Covid-19-pandemie, zullen gegevensbescherming en de rechten op onze persoonlijke informatie verder worden verankerd in nationale wetten, die steeds evolueren met nieuwe technologieën en internationale regelgevingslandschappen.
