Waarom de wereld steeds weer kiest voor de Europese privacyregels

Wat is de AVG en waarom is deze van belang? 

De Algemene Verordening Gegevensbescherming (AVG), die in 2018 door de EU is ingevoerd, stelt strenge regels vast voor de manier waarop bedrijven en organisaties persoonsgegevens verzamelen, opslaan en gebruiken, van je e-mailadres tot je online winkelgedrag. De verordening kent burgers rechten toe, zoals het recht om te weten welke gegevens over hen worden bewaard en om deze te laten verwijderen. Wat de AVG bijzonder maakt, is dat deze niet alleen binnen de EU van toepassing is. Bedrijven buiten Europa die zaken willen doen met Europese klanten, of simpelweg hun gegevens willen verwerken, moeten vaak dezelfde regels volgen. In de loop der tijd zijn veel landen nog een stap verder gegaan en hebben ze de aanpak van de AVG overgenomen in hun eigen nationale wetgeving. Kositwatanarerk en Heine wilden inzicht krijgen in het mechanisme achter de brede acceptatie van deze verordening. 

Twee concepten: padafhankelijkheid en netwerkeffecten 

De wereldwijde invloed van de AVG wordt vaak verklaard aan de hand van het bekende concept van Anu Bradford, het ‘Brusselseffect’: het idee dat de enorme omvang van de EU-markt bedrijven wereldwijd dwingt om zich aan de EU-regels te houden. Kositwatanarerk en Heine voegen daar nog twee andere concepten aan toe: padafhankelijkheid en netwerkeffecten. 

Padafhankelijkheid houdt in dat keuzes die in het verleden zijn gemaakt, bepalend zijn voor wat vandaag de dag mogelijk is, zelfs als er andere alternatieven bestaan. Zodra een bepaald pad is ingeslagen, wordt het steeds moeilijker om daarvan af te wijken. Netwerkeffecten verklaren waarom: een systeem wordt waardevoller en aantrekkelijker voor nieuwkomers naarmate meer mensen er al gebruik van maken. “Padafhankelijkheid en netwerkeffecten bieden een uniek perspectief dat zich onderscheidt van het Brussel-effect. In plaats van de uitkomst te verklaren, illustreren ze de ontwikkeling van de AVG en hoe deze anderen ertoe heeft aangezet om deel uit te maken van het netwerk”, stelt Kositwatanarerk. 

De ontwikkeling van gegevensbescherming 

De onderzoekers beschrijven deze ontwikkeling in drie fasen. Vóór de jaren negentig ontwikkelden landen onafhankelijk van elkaar wetgeving op het gebied van gegevensbescherming, waarbij er nauwelijks sprake was van onderlinge afstemming. Dat veranderde met de EU-richtlijn inzake gegevensbescherming uit 1995, de voorloper van de AVG, die andere rechtsgebieden langzaam maar zeker naar een gemeenschappelijk Europees model begon te leiden. De AVG heeft die leidende positie vervolgens verankerd. 

Dit patroon is bekend uit andere levensgebieden. Neem bijvoorbeeld het QWERTY-toetsenbord, genoemd naar de eerste zes letters op de bovenste rij. Het werd oorspronkelijk in de negentiende eeuw ontworpen om te voorkomen dat mechanische typemachines vastliepen, niet omdat het de meest efficiënte indeling was. Maar toen typisten overal het toetsenbord eenmaal onder de knie hadden, werd de overstap naar een beter ontworpen toetsenbord te kostbaar en te omslachtig, zelfs nadat het oorspronkelijke vastloopprobleem met nieuwere machines was verdwenen. 

Een soortgelijk verhaal geldt voor Delaware, een kleine Amerikaanse staat die de standaardkeuze is geworden voor bedrijfsregistraties. In het begin van de twintigste eeuw trok Delaware bedrijven aan door flexibele vennootschapswetgeving en een gespecialiseerd rechtssysteem aan te bieden dat uitsluitend was opgezet om zakelijke geschillen te behandelen, waardoor het een aantrekkelijke plek werd om een bedrijf op te richten. Toen eenmaal genoeg advocaten, rechtbanken en bedrijven zich hadden gespecialiseerd in het vennootschapsrecht van Delaware, werd het gemakkelijker om daar te blijven dan om naar elders over te stappen. De AVG vertoont dezelfde dynamiek: zodra voldoende landen, bedrijven en juristen zich hadden aangepast aan de Europese aanpak, werd de overstap naar iets anders steeds kostbaarder. 

Waarom zijn sommige alternatieven nooit van de grond gekomen? 

Niet elke poging om een wereldwijde privacynorm in te voeren was succesvol. Het APEC-privacykader, dat in 2004 door landen in de Aziatisch-Pacifische regio werd gelanceerd, is nooit een serieuze concurrent van de AVG geworden. Volgens Kositwatanarerk ligt de reden hiervoor in de opzet ervan. ''Het APEC Privacy Framework is op een andere manier opgezet dan de AVG. Het is een niet-bindend kader dat geen volledige reeks normen voor gegevensbescherming bevat, zoals die in de AVG zijn vastgelegd.“ Zonder bindende regels heeft het kader nooit het soort netwerk opgebouwd dat anderen zou aantrekken. 

De Schrems-uitspraken 

Ook de leidende positie van de AVG heeft te maken gehad met serieuze uitdagingen. Tweemaal heeft het hoogste Europese gerechtshof overeenkomsten vernietigd die bedrijven toestonden gegevens uit te wisselen tussen de EU en de Verenigde Staten: eerst een regeling genaamd Safe Harbor, daarna de opvolger daarvan, Privacy Shield. Beide keren oordeelde het Hof dat de Amerikaanse privacybescherming niet voldeed aan de Europese normen. Voor Kositwatanarerk is dit geen teken van zwakte, maar juist het tegenovergestelde. "Het onderstreept de zeer sterke padafhankelijkheid van de AVG, evenals de unilaterale bevoegdheid van de EU om de koers ervan te bepalen.  

De inconsistentie tussen de Europese Commissie en het Hof van Justitie van de Europese Unie heeft echter geleid tot verwarring en onzekerheid bij bedrijven in zowel de Verenigde Staten als de EU over de toekomstige richting van de AVG. Het is belangrijk dat de EU deze kwesties aanpakt in het beheer van de AVG en een manier vindt om rechtszekerheid te bieden”, zegt ze. De EU beslist zelf wie aan haar eisen voldoet, en is bereid die goedkeuring in te trekken, zelfs van een belangrijke partner als de VS, wat alleen maar onderstreept hoe centraal de Europese norm is geworden. 

Vereenvoudiging zonder de gegevensbescherming te verzwakken 

Met het oog op de toekomst stellen de onderzoekers dat de AVG wellicht moet worden vereenvoudigd om verder te kunnen groeien, een richting die tot uiting komt in het door de Europese Commissie voorgestelde ''Digital Omnibus“-pakket. In de praktijk betekent vereenvoudiging het verminderen van de administratieve lasten die gepaard gaan met naleving, zoals het verlichten van een deel van de papierwinkel en procedurele vereisten waarmee bedrijven en landen te maken hebben, zonder de kernrechten van burgers met betrekking tot hun gegevens te wijzigen. 

Dat onderscheid is belangrijk: het zijn bedrijven en overheden die aan de AVG-normen moeten voldoen die het verschil zouden merken, niet individuele burgers, voor wie de onderliggende bescherming hetzelfde blijft. Kositwatanarerk ziet dit niet als een bedreiging voor burgers. ''Ik denk niet dat de vereenvoudiging de bescherming van betrokkenen in de EU zou ondermijnen; integendeel, het zou de AVG helpen haar netwerk uit te breiden, aangezien meer landen aan de vereisten zouden kunnen voldoen.” 

Zou de positie van de AVG ooit kunnen kantelen? 

Kositwatanarerk vergelijkt de greep van de AVG met die van een berichtenapp. ''Als één gebruiker zou overstappen naar een andere messenger, zou dat geen invloed hebben op de dominante positie van WhatsApp. Maar als de hele gemeenschap tegelijkertijd en collectief zou overstappen naar een andere applicatie, zou het mogelijk zijn om de leidende positie van WhatsApp te doorbreken.” Ze ziet echter geen realistisch vooruitzicht dat dit op korte termijn met de AVG zal gebeuren. 

Haar slotboodschap is minder gericht op landen die Europese normen overnemen, dan wel op Brussel zelf. ''Het is essentieel dat de drijvende krachten achter de AVG een meer mondiale benadering hanteren en meer bijdragen van hun netwerkleden verwelkomen”, zegt ze, waarmee ze eraan herinnert dat een regel die in Europa is ontstaan, in de praktijk nu aan de wereld toebehoort.