EU-privacywaakhonden trekken aan de bel: 'Nieuwe datawet te onduidelijk'

De Europese Commissie werkt aan nieuwe regels die het makkelijker moeten maken voor burgers, bedrijven en instanties om data uit te wisselen. Maar er dreigt onduidelijkheid op vlakken waar de nieuwe regels botsen met de privacywet AVG.

De nieuwe Data Act of Dataverordening van de Europese Commissie is vooral gericht op de uitwisseling van niet-persoonlijke gegevens: data zonder informatie die een individu identificeert. Voorbeeld: een autofabrikant die een garagebedrijf toegang geeft tot data van de auto-eigenaar, als die eigenaar dat wil. Of een slimme koffiemachine stuurt data door naar de fabrikant maar de gebruiker zelf kan die gegevens niet inzien: dat mag straks niet meer.

Ook al richt de Dataverordening zich vooral op niet-persoonlijke data, toch vrezen de Europese toezichthouders voor onduidelijkheid. Dat schrijven de waakhonden in een gezamenlijk advies aan de Europese Commissie en het Europees Parlement. De brief is ondertekend door de Nederlandse Autoriteit Persoonsgegevens, de instantie die in Nederland toeziet op naleving van privacywet AVG maar straks ook op naleving van de Dataverordening.

'AVG moet leidend zijn'

"Het grootste risico van het huidige voorstel voor de Data Act is dat er onduidelijkheid kan ontstaan over de toepasselijkheid van de AVG en dat de Data Act afbreuk doet aan rechten en verplichtingen in de AVG", schrijft de Autoriteit Persoonsgegevens. De toezichthouders wijzen erop dat ook met de komst van de Data Act de bescherming van persoonsgegevens altijd op de eerste plaats moet staan.

De leidende rol van de AVG moet volgens de toezichthouders benadrukt worden in de nieuwe Dataverordening. Het mag volgens de toezichthouders niet gebeuren dat een bedrijf straks persoonlijke data deelt onder de Dataverordening, die volgens de AVG niet gedeeld zou mogen worden.

Data-eis bij 'rampen' te vaag

Verder vrezen de toezichthouders voor de mogelijkheden van overheden om straks data op te eisen. In 'uitzonderlijke omstandigheden', zoals bij rampen, moeten bedrijven via de Dataverordening straks data over burgers aan overheden geven. Maar het voorstel is nog onduidelijk over precieze eisen, waarborgen en welke data gedeeld moeten worden. Dat moet wel duidelijk worden gemaakt, vinden de toezichthouders.

Het voorstel over de Dataverordening ligt nu bij het Europees Parlement. Daarna kunnen ook de Europese lidstaten hun mening nog geven over het voorstel, dat pas daarna omgezet zal worden tot een wet.