Integriteitsgroepen waarschuwen dat de wijzigingen fundamentele bescherming kunnen ondermijnen, terwijl de Commissie zegt dat ze de naleving van regels zullen vereenvoudigen en innovatie zullen ondersteunen.

EU wil AVG moderniseren, maar riskeert verzwakking privacybescherming

De Europese Commissie bereidt een ingrijpende herziening van de Algemene Verordening Gegevensbescherming (AVG) voor, die de manier waarop bedrijven omgaan met persoonsgegevens zou kunnen veranderen – van cookietracking tot AI-training. Het voorstel, dat naar verwachting op 19 november wordt gepresenteerd, heeft al felle reacties uitgelokt van privacyactivisten die waarschuwen dat het het privacykader van de EU zou kunnen uithollen.

Volgens een uitgelekt ontwerp, gerapporteerd door de Duitse organisatie Netzpolitik.org De Commissie is van plan de wijzigingen op te nemen in een nieuw 'Digitaal Omnibuspakket'. Dit pakket zou onder andere de vereiste schrappen dat websites expliciete toestemming moeten verkrijgen voordat ze cookies plaatsen, en het gebruik van persoonsgegevens voor AI-training toestaan wanneer dit gerechtvaardigd is door het 'legitieme belang' van een bedrijf.

Advertentie

Cookies worden verplaatst onder de AVG – er is minder toestemming nodig

Het voorstel voor een nieuw artikel, 88a, die betrekking heeft op “verwerking van persoonsgegevens op en vanuit eindapparatuur”. Dit betekent in de praktijk dat de regelgeving voor cookies wordt verplaatst van de ePrivacy-richtlijn naar AVG.

Momenteel vereist artikel 5(3) van de e-privacyrichtlijn expliciete toestemming voor alle niet-essentiële cookies. De Commissie is van mening dat dit onnodige complexiteit en hogere nalevingskosten met zich meebrengt. Het nieuwe voorstel zou bedrijven kunnen gegevens verwerken via cookies op basis van een lijst met “doeleinden met een laag risico” of op wettelijke gronden zoals gerechtvaardigd belang – wat betekent dat tracking standaard kan plaatsvinden, met de mogelijkheid voor gebruikers om achteraf bezwaar te maken.

”"Hoewel toestemming vereist is om controle te garanderen, is dit niet altijd de meest geschikte basis voor verwerking", aldus het ontwerp.

Privacyorganisaties zijn echter van mening dat dit een bedreiging kan vormen voor de Europese gegevensbescherming. Europese Digitale Rechten (EDRi) schreef in oktober:

“"De AVG, e-privacy en de AI-wet vormen geen belemmeringen voor innovatie – ze vormen de basis van het mensgerichte digitale model van Europa. De Commissie lijkt nu van plan de e-privacybescherming te verzwakken."”

Uitzonderingen voor media- en AI-training

Het voorstel maakt een uitzondering voor de mediasector. Nieuwsorganisaties kunnen nog steeds toestemming vragen voor cookies, onder verwijzing naar de noodzaak om de economische basis van de journalistiek te beschermen.

Tegelijkertijd krijg je Groen licht voor AI-training. Het voorstel stelt voor dat bedrijven AI-systemen met persoonsgegevens moeten kunnen trainen, testen en valideren op basis van legitiem belang – mits ze waarborgen inbouwen zoals dataminimalisatie, transparantie en een recht van bezwaar. De Commissie noemt voorbeelden zoals het detecteren van bias of het verbeteren van de nauwkeurigheid van modellen.

Privacyjuristen waarschuwen echter dat deze verandering de deur kan openen voor grootschalige datamining zonder toestemming, iets wat de AVG oorspronkelijk moest voorkomen.

Beperking van de bescherming van gevoelige gegevens

Een van de meest controversiële elementen is de voorgestelde beperking van wat als gevoelige persoonsgegevens geldt onder artikel 9. Alleen gegevens die onthult direct Gevoelige kenmerken, zoals religie of gezondheid, zouden worden behandeld. Informatie die alleen geeft aan deze via analyse of profilering zouden niet langer dezelfde bescherming.

Critici zeggen dat bedrijven hierdoor conclusies kunnen trekken over politieke opvattingen of seksuele geaardheid, zonder dat deze informatie wordt gedeeld. beschermd.

Europees Rechtsinstituut waarschuwde in zijn feedback op 14 oktober:

“Verbeteringen mogen niet ten koste gaan van de bescherming van fundamentele rechten.”

Wat gebeurt er nu?

Als het voorstel wordt aangenomen, hoeven bedrijven in de hele EU niet langer te vertrouwen op uitgebreide systemen voor toestemming voor cookies en moeten ze in plaats daarvan hun rechtsgrondslag vastleggen onder legitiem belang. Privacygroepen waarschuwen dat de consultatie "uitsluitend" was en gericht op "de stemmen van de industrie".

De herziening zou daarmee een keerpunt kunnen zijn voor de gegevensbescherming in Europa – hetzij naar een flexibelere regelgeving die innovatie bevordert, hetzij naar een zwakkere privacybescherming voor miljoenen gebruikers.