Europese Commissie stelt AVG-verlichting voor voor AI- en cookietracking

Integriteitsgroepen waarschuwen dat de wijzigingen fundamentele bescherming kunnen ondermijnen, terwijl de Commissie zegt dat ze de naleving van regels zullen vereenvoudigen en innovatie zullen ondersteunen.

De EU wil moderniseren AVG – maar dit brengt het risico met zich mee dat de privacybescherming verzwakt wordt.

De Europese Commissie bereidt een grondige herziening van de Algemene Verordening Gegevensbescherming (AVG) voor.AVG) dat de manier waarop bedrijven persoonsgegevens verwerken zou kunnen veranderen – van het volgen via cookies tot het trainen van AI. Het voorstel, dat naar verwachting op 19 november wordt gepresenteerd, heeft al sterke reacties uitgelokt van privacyvoorstanders die waarschuwen dat het het privacykader van de EU zou kunnen ondermijnen.

Volgens een uitgelekt ontwerp, gerapporteerd door de Duitse organisatie Netzpolitik.org De Commissie is van plan de wijzigingen op te nemen in een nieuw 'Digitaal Omnibuspakket'. Dit pakket zou onder andere de vereiste schrappen dat websites expliciete toestemming moeten verkrijgen voordat ze cookies plaatsen, en het gebruik van persoonsgegevens voor AI-training toestaan wanneer dit gerechtvaardigd is door het 'legitieme belang' van een bedrijf.

Cookies worden verplaatst naar onder AVG – minder toestemming vereist

Het voorstel voor een nieuw artikel, 88a, die betrekking heeft op “verwerking van persoonsgegevens op en vanuit eindapparatuur”. Dit betekent in de praktijk dat de regelgeving voor cookies wordt verplaatst van de ePrivacy-richtlijn naar AVG.

Artikel 5(3) van de ePrivacyrichtlijn vereist momenteel expliciete toestemming voor alle niet-essentiële cookies. De Commissie stelt dat dit onnodige complexiteit en hogere nalevingskosten met zich meebrengt. Het nieuwe voorstel zou bedrijven in staat stellen gegevens via cookies te verwerken op basis van een lijst met 'laagrisicodoeleinden' of op een wettelijke grondslag zoals gerechtvaardigd belang. Dit betekent dat tracking standaard zou kunnen plaatsvinden, met de mogelijkheid voor gebruikers om hier later bezwaar tegen te maken.

”"Hoewel toestemming vereist is om controle te garanderen, is dit niet altijd de meest geschikte basis voor verwerking", aldus het ontwerp.

Privacyorganisaties zijn echter van mening dat dit een bedreiging kan vormen voor de Europese gegevensbescherming. Europese Digitale Rechten (EDRi) schreef in oktober:

“"De AVG, e-privacy en de AI-wet vormen geen belemmeringen voor innovatie – ze vormen de basis van het mensgerichte digitale model van Europa. De Commissie lijkt nu van plan de e-privacybescherming te verzwakken."”

Uitzonderingen voor media- en AI-training

Het voorstel maakt een uitzondering voor de mediasector. Nieuwsorganisaties kunnen nog steeds toestemming vragen voor cookies, onder verwijzing naar de noodzaak om de economische basis van de journalistiek te beschermen.

Tegelijkertijd krijg je Groen licht voor AI-training. Het voorstel stelt voor dat bedrijven AI-systemen met persoonsgegevens moeten kunnen trainen, testen en valideren op basis van legitiem belang – mits ze waarborgen inbouwen zoals dataminimalisatie, transparantie en een recht van bezwaar. De Commissie noemt voorbeelden zoals het detecteren van bias of het verbeteren van de nauwkeurigheid van modellen.

Privacyjuristen waarschuwen echter dat deze verandering de deur kan openen voor grootschalige datamining zonder toestemming, iets wat de AVG oorspronkelijk moest voorkomen.

Beperking van de bescherming van gevoelige gegevens

Een van de meest controversiële elementen is de voorgestelde beperking van wat als gevoelige persoonsgegevens geldt onder artikel 9. Alleen gegevens die onthult direct Gevoelige kenmerken, zoals religie of gezondheid, zouden worden behandeld. Informatie die alleen geeft aan deze via analyse of profilering zouden niet langer dezelfde bescherming.

Critici zeggen dat bedrijven hierdoor conclusies kunnen trekken over politieke opvattingen of seksuele geaardheid, zonder dat deze informatie wordt gedeeld. beschermd.

Europees Rechtsinstituut waarschuwde in zijn feedback op 14 oktober:

“Verbeteringen mogen niet ten koste gaan van de bescherming van fundamentele rechten.”

Wat gebeurt er nu?

Als het voorstel wordt aangenomen, hoeven bedrijven in de hele EU niet langer te vertrouwen op uitgebreide systemen voor toestemming voor cookies en moeten ze in plaats daarvan hun rechtsgrondslag vastleggen onder legitiem belang. Privacygroepen waarschuwen dat de consultatie "uitsluitend" was en gericht op "de stemmen van de industrie".

De herziening zou daarmee een keerpunt kunnen zijn voor de gegevensbescherming in Europa – hetzij naar een flexibelere regelgeving die innovatie bevordert, hetzij naar een zwakkere privacybescherming voor miljoenen gebruikers.