Al 10.000 klachten bij de Autoriteit Persoonsgegevens
Al zo’n 10.000 klachten zijn in het afgelopen half jaar bij de Autoriteit Persoonsgegevens (AP) binnengekomen. Er wordt vooral geklaagd over het feit dat er meer persoonsgegevens worden gevraagd dan noodzakelijk voor de dienstverlening, maar ook als er getwijfeld wordt of hun gegevens niet bij derden terechtkomen. De ondernemingsraad heeft ook een taak bij de klachtbe- en afhandeling in de onderneming.
Vooral over zakelijke dienstverleners, de IT-sector en de financiële instelling worden klachten ingediend. Sinds de invoering van de AVG zijn het aantal klachten toegenomen, mogelijk ook omdat er een grotere bewustwording is ontstaan van de bescherming die op de persoonsgegevens van toepassing hoort te zijn.
Waar wordt over geklaagd?
De meeste klachten (32%) gaan over een schending van een privacyrecht. Denk daarbij aan het recht op inzage of op de verwijdering van persoonsgegevens. Ook krijgen mensen geen inzage in hun gegevens als ze daarom vragen of ondervinden tegenwerking als zij persoonsgegevens verwijderd willen hebben. Veel organisaties vragen bijvoorbeeld om een kopie van een identiteitsbewijs, terwijl dat niet altijd nodig is. Het controleren van de identiteit kan ook op een minder ingrijpende manier gebeuren. Zo’n 15 procent van de klachten gaan over het meer gegevens vragen dan noodzakelijk, zoals het vragen naar het BurgerServiceNummer (BSN) als een account bij een brillenwinkel wordt aangemaakt of bij aanmelding bij een rijschool. Zo’n 12 procent klaagt over het doorgeven van persoonsgegevens aan derden terwijl mensen dat niet willen of er niet van op de hoogte zijn.
Waar ontstaan de klachten?
Zo’n 63 procent van de klachten komen uit een drietal sectoren: zakelijke dienstverleners (41%), de IT-sector (12%) en de overheid (10%). Financiële instellingen en zorginstellingen zijn ieder goed voor 9 procent van de klachten. Bij de zakelijke dienstverleners (zoals detailhandel en nutsbedrijven, en de IT-sector) gaan de klachten vooral het recht op inzage en het recht op verwijdering van persoonsgegevens. Bij gemeenten en Zelfstandige Bestuursorganen (ZBO’s), zoals de SVB en het UWV veroorzaakt de manier van gegevensverwerking de meeste klachten.
Wat te doen met de klachten?
De AP is op grond van de 10.000 klachten 11 onderzoeken gestart, vooral in die gevallen wanneer er sprake is van en veelvoud aan (dezelfde) klachten. Daarnaast heeft de AP zich vooral gericht op het beëindigen van de mogelijke overtreding door voorlichting aan organisaties en het sturen op herstelmaatregelen. In meer dan een derde van de gevallen heeft de AP opgetreden tegen een overtreding door een brief te versturen met normuitleg, te bemiddelen of een normoverdragend gesprek te voeren. Met een dergelijk gesprek beoogt de AP de instelling indringend te wijzen op het belang dat van een correcte naleving de AVG, een tik op de vingers zonder dat er direct boetes worden uitgedeeld. Kortom: het is vooral sturen op verbetering en (nog) niet op het beboeten van overtreders.
In zo’n 33 procent van de klachten heeft de AP verwezen naar de eigen organisatie, bijvoorbeeld naar de klachtenregeling die daar van toepassing is. Veel klagers hebben niet van de mogelijkheid gebruik gemaakt als ze bij de AP een klacht indienen. Ook de ondernemingsraad wordt genoemd als mogelijke eerste stap tot het aanpakken van de klacht.
De OR als klachtenbureau?
Voor de ondernemingsraad is het van belang om – op zijn beurt – die klacht niet zelf op te lossen, maar de klager door te verwijzen naar de bestaande klachtenregeling en/of -commissie of vertrouwenspersoon. In ieder geval kan de OR ervoor zorgen dat regeling en werkwijze van de commissie óók de klachten op het gebied van de bescherming van persoonsgegevens kan behandelen. Spreek met de bestuurder of dat hij met een voorstel ter verbetering komt als dat nodig is. De ondernemingsraad kan natuurlijk zelf ook met een initiatiefvoorstel komen om de klachtenregeling geschikt te maken voor klachten over de privacybescherming.