(Eerder verschenen in IP- Vakblad voor informatiespecialisten 2019-6)

“Ik weet maar één ding, en dat is dat  ik niets weet”. De AVG is inmiddels ruim een jaar van kracht, maar nog steeds herkennen veel medewerkers van bedrijven en overheidsorganisaties zich in de woorden van Socrates wanneer ze beslissingen moeten nemen over privacygevoelige zaken.

In de eerste maanden van 2018 was Nederland volledig in de ban van de AVG. Overal verschenen privacyfunctionarissen, organisaties stelden verwerkersovereenkomsten op en IT-afdelingen verwijderden gevoelige, maar niet per se noodzakelijke gegevens van hun servers. Die privacypaniek van toen blijkt bij tal van instanties te zijn overgegaan in een meer permanente privacykramp. Want ook nu zijn veel organisaties nog steeds als de dood om grenzen te overschrijden.

De Volkskrant maakte onlangs een rondje langs verschillende instanties en constateerde dat veel instanties uit angst voor boetes het zekere voor het onzekere nemen. De overheid heeft jarenlang flink geïnvesteerd in geautomatiseerde gegevensuitwisseling tussen organisaties, maar die blijven nu vaak krampachtig op hun data zitten. Dat leidt nogal eens tot stroperigheid en inefficiëntie. Het UWV ziet zich bij het opsporen van fraudegevallen bijvoorbeeld geplaatst voor problemen omdat de Belastingdienst en gemeenten niet erg toeschietelijk zijn bij het leveren van de nodige gegevens.

De overheid probeert via de website kiezen-en-delen.nl duidelijkheid te scheppen over de mogelijkheden voor gegevensuitwisseling binnen het sociaal domein. Maar wie bijvoorbeeld de lijvige handreiking heeft gelezen over gegevensuitwisseling in de bemoeizorg voor zorgwekkende zorgweigeraars (ik verzin dit niet), zal niet het idee hebben dat er nu een helder licht wordt geworpen op de hier en daar toch wat schimmige wetgeving.

De Autoriteit Persoonsgegevens heeft sinds de invoering van de AVG maar weinig boetes uitgedeeld. Gek genoeg is dat nu júist een reden waarom de privacykramp er bij veel instellingen is ingeschoten. Het grote grijze gebied tussen wat wel en wat niet mag zou een stuk kleiner kunnen zijn als er voldoende jurisprudentie was. Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens, kondigde voor dit jaar serieuze handhaving aan, maar zijn organisatie is (nog) te klein om voldoende onderzoek te doen.

Is er iets te doen tegen de privacykramp?  Zeker. Het is bekend dat je bij kramp iets moet doen wat je gevoelsmatig juist zou willen vermijden, en dat is bewegen. En bananen eten, maar of dat bij privacykramp helpt, is twijfelachtig.