EU gaat onze online privacy strenger bewaken
Sedert het uiteenvallen van Safe Harbor, de databeveiligingsovereenkomst tussen Europa en de VS, was er nood aan nieuwe impulsen. Amerikaanse overheidsdiensten hadden toegang tot gevoelige informatie, aangezien de grote Amerikaanse bedrijven het spel toch niet helemaal eerlijk speelden. Ze verzamelden meer gegevens dan nodig was en gaven gebruikers amper de mogelijkheid om die informatie weer offline te halen.
De nieuwe General Data Protection Regulation (GDPR) breidt bestaande regelgevingen uit en uniformeert de wetten voor alle deelstaten. Op die manier wordt het makkelijker voor buitenlandse inlichtingendiensten om op een correcte wijze informatie te verzamelen. In plaats van zich door een allegaartje aan wetgevingen te worstelen, gaan zij slechts rekening moeten houden met één algemeen kader.
[related_article id=”177664″]Privacy by design
Eén van de nieuwe regels stipuleert dat grote databedrijven, zoals Facebook en Google, hun gebruikers vanaf het begin standaard van de hoogste graad van privacy moeten voorzien. Een gebruiker zou moeten instellen hoeveel hij prijsgeeft, in plaats van te kiezen hoeveel hij verbergt, zoals nu. De EU noemt dit ‘privacy by design’. Wil een gebruiker toch weer van sociale media af, dan moet hij zich kunnen laten ‘vergeten’, inclusief alle gegevens die hij ingaf. De dienst moet er dan zelf voor zorgen dat ook partners deze gegevens verwijderen.
Bovendien moeten privacy-instellingen makkelijk te vinden zijn, in plaats van door vele menu’s te moeten graven, en moeten privacyverklaringen van diensten als sociale media opgesteld worden in ‘klare en verstaanbare taal’. Dat lijkt een vooruitgang, maar voorlopig weten we niet wat daar juist onder bedoeld wordt, noch hoe zoiets geïmplementeerd moet worden. De verplichte ‘data protection officer’ bij grote bedrijven moet mee voorzien in de implementering.
Allen naar Google+
Een vreemdere bepaling in de regulering, is de overdracht van gegevens die door de gebruiker bevolen wordt. Terwijl deze regel zinvol is bij bijvoorbeeld het overstappen van internetprovider, moet dit ook mogelijk worden voor sociale media en andere soortgelijke diensten. Wie van Facebook naar Google+ gaat, om welke reden dan ook, moet zijn contactpersonen en andere informatie automatisch kunnen meenemen. Of en hoe dit technisch mogelijk moet worden, blijft erg vaag.
Ten slotte wordt elk land verplicht om een leeftijdsbeperking in te stellen. In landen als het Verenigd Koninkrijk moeten kinderen onder de 12 jaar schriftelijke toestemming van de ouders uploaden, alvorens ze ergens een account mogen aanmaken. Deze regel wordt nu overal verplicht, al mag elk land zelf kiezen welke grens het hanteert, van 13 tot 16 jaar.
De GDPR zal pas in april 2018 actief in werking treden, al is de verwachting dat de gevolgen al veel eerder voelbaar zullen zijn. Daarnaast zal deze nieuwe regelgeving ook een belangrijke invloed uitoefenen op het aankomende Privacy Shield, dat Safe Harbor moet gaan vervangen.
