Denemarken stimuleert vereenvoudiging van de GDPR: Vergeet scale-ups niet
Denemarken stimuleert vereenvoudiging van de GDPR: Scale-ups mogen niet vergeten worden
Deze week kwamen de Europese Ministers van Justitie in Kopenhagen bijeen voor een informeel overleg, georganiseerd door het Deense voorzitterschap van de Raad van de Europese Unie. Onderwerp van gesprek was de mogelijkheid om de regels onder de Algemene Verordening Gegevensbescherming (GDPR) te vereenvoudigen en te herzien.
De GDPR is sinds de goedkeuring in 2016 een hot topic. Het Europese privacykader blijft een van de meest uitgebreide en strengste ter wereld, maar veel Europese bedrijven raken steeds gefrustreerder door de rigide interpretatie van persoonlijke gegevens en de zware administratieve lasten die nodig zijn voor naleving.
Tegelijkertijd beschouwen Europese wetgevers de GDPR als een wereldwijde maatstaf en zijn zij terughoudend om het opnieuw te openen, behalve voor nauw gerichte pogingen om de complexiteit te verminderen en de regeldruk te verlichten.
De ministers van Justitie willen de GDPR gebruiksvriendelijker maken. Hoewel we de voorstellen van de Commissie voor de vereenvoudiging van de GDPR later dit jaar nog moeten zien, wordt het steeds duidelijker dat niet alleen Europese bedrijven en industrie-ministers, maar ook de ministers van Justitie erkennen dat de GDPR een concurrentie-uitdaging vormt voor veel Europese ondernemingen.
Peter Hummelgaard, de Deense minister van Justitie, verwees tijdens zijn opmerkingen naar het Draghi-rapport: “Zoals iedereen weet, heeft het Draghi-rapport aangetoond dat we serieuze concurrentie-uitdagingen binnen de EU hebben. Daarom zullen we tijdens het Deense voorzitterschap de focus leggen op het moderniseren van het regelgevingslandschap, met speciale aandacht voor de GDPR.”
Inese Lībiņa-Egnere, de Letse minister van Justitie, vertelde journalisten dat het doel is om “gegevensbescherming gebruiksvriendelijker te maken”. Annelies Verlinden, de Belgische minister van Justitie, herhaalde deze opmerking en benadrukte dat hoewel de GDPR “een zeer belangrijke regeling blijft, we extra administratieve vereisten willen vermijden. In België hebben we veel KMO’s en we willen niet te belastend zijn.”
De Commissie wil gerichte vereenvoudiging en ziet geen behoefte aan een bredere herziening. Michael McGrath, de Europese Commissaris die toezicht houdt op de herziening en vereenvoudiging van de GDPR, benadrukte tijdens de persconferentie dat de Europese Commissie in mei al gerichte vereenvoudigingen heeft voorgesteld om de recordkeeping verplichtingen voor KMO’s, kleine mid-caps en organisaties met minder dan 750 werknemers te verlichten. Vorige week organiseerde de Commissie ook een dialoog over de implementatie van de GDPR, waarin geselecteerde belanghebbenden hun ervaringen en ideeën voor verdere vereenvoudiging konden delen.
Commissaris McGrath vertelde journalisten dat er “geen significante vraag is naar een dramatische (of radicale) heropening van de GDPR”, wat de feedback weerspiegelt die is verzameld tijdens de implementatiedialoog met de industrie eerder deze maand. “Echter, sommige belanghebbenden en een paar lidstaten hebben gepleit voor gerichte wijzigingen. Wat consistent naar voren kwam, was de oproep voor meer praktische en consistente richtlijnen, evenals een sterkere betrokkenheid van nationale toezichthoudende autoriteiten en de EDPB. Er is ook een duidelijke behoefte aan een uniformere toepassing van de GDPR-regels binnen de EU.”
De Commissie werkt op twee fronten: uitvoerend vicevoorzitter Henna Virkkunen leidt de ontwikkeling van een Europese Datastrategie, gericht op het stroomlijnen van de interactie tussen de Open Data Richtlijn, de Wet gegevensbeheer en de Dataverordening – met als doel nieuwe investeringen vrij te maken en effectievere gegevensuitwisseling binnen en buiten Europa te faciliteren. Ondertussen leidt Michael McGrath de inspanningen om de GDPR te vereenvoudigen.
In de praktijk wordt de GDPR – of vaker, de overdreven strikte interpretatie ervan – vaak gebruikt als reden om geen gegevens te delen, wat de doelstellingen van de Open Data Richtlijn voor grotere transparantie in de publieke sector en de ambities van de Dataverordening voor verbeterde B2B-gegevensuitwisseling ondermijnt. Om de uitdagingen van de Europese data-economie echt aan te pakken, moeten deze initiatieven elkaar versterken – een politiek complexe, maar noodzakelijke taak.
Wat stellen de Denen voor? Laten we de scale-ups niet vergeten. Begin juli verspreidde het Deense voorzitterschap een non-paper over de herziening van de GDPR, dat verschillende positieve, bedrijfsvriendelijke voorstellen bevat. Voorbeelden van deze voorstellen zijn: 1) het vaststellen van een minimale drempel voor wanneer rechten van de betrokkene van toepassing zijn; 2) KMO’s meer flexibiliteit geven in laag risico gegevensverwerking; 3) verduidelijken wanneer Gegevensbeschermingseffectbeoordelingen (DPIA’s) vereist zijn en overwegen om vrijstellingen of vereenvoudigde procedures voor KMO’s in te voeren; en 4) klachten bij de toezichthoudende autoriteiten (DPA’s) afhankelijk maken van voorafgaand contact met de gegevensbeheerder – om misbruik te voorkomen, oplossingen op bedrijfsniveau te stimuleren en mogelijk de werklast van DPA’s te verlichten.
Het wordt steeds duidelijker dat noch de Commissie, noch het Deense voorzitterschap de politieke wil zullen vinden om de GDPR voor een bredere herziening opnieuw te openen. Het is echter essentieel dat de door het Deense voorzitterschap voorgestelde wijzigingen niet beperkt blijven tot de traditionele definitie van kleine en middelgrote ondernemingen (KMO’s) – die tot 50 miljoen euro aan jaarlijkse omzet en minder dan 250 werknemers hebben. Ten minste zouden ze het precedent moeten volgen dat is gezet door de eerdere vereenvoudiging, die de rapportageverlichting van de GDPR uitbreidde naar kleine en mid-caps, of bedrijven met minder dan 750 werknemers.
Deze bredere reikwijdte zou de vereenvoudiging van de GDPR beter in staat stellen om de Europese data-economie – inclusief scale-ups – te ondersteunen, die centraal staan in de concurrentieambities van Europa. Deze bedrijven staan al voor obstakels zoals strikte interpretaties van persoonlijke gegevens onder de GDPR, beperkte bereidheid van publieke instellingen om gegevens te delen en terughoudendheid van particuliere actoren om hetzelfde te doen. Het is van cruciaal belang ervoor te zorgen dat deze snelgroeiende bedrijven niet over het hoofd worden gezien in het hervormingsproces.
De traditionele “denk klein eerst”-benadering van Europa heeft zijn voordelen, maar als het gaat om GDPR-hervorming, moet het worden aangevuld met een mentaliteit van “vergeet degenen die kunnen opschalen niet terwijl je dat doet”.
