1. Cookiebanners strenger beoordeeld
De AP heeft recent meerdere organisaties aangesproken op de onjuiste implementatie van cookiebanners. In veel gevallen werden cookies geplaatst zonder geldige toestemming van websitebezoekers. De AP heeft daarom vuistregels opgesteld voor het vormgeven van een heldere cookiebanner. Uitgangspunten zijn onder meer dat vooraf aangevinkte vinkjes niet zijn toegestaan en toestemming eenvoudig in te trekken moet zijn.
2. Rechten van betrokkenen
De European Data Protection Board (EDPB) ziet dat organisaties moeite hebben met het faciliteren van de uitoefening van de rechten van betrokkenen. Er ontbreekt vaak een standaardwerkwijze en veel verzoeken worden onnodig geweigerd of bemoeilijkt. In aansluiting hierop start de AP in 2025 een onderzoek naar de omgang van organisaties met het recht op het verwijderen van gegevens. Overtredingen kunnen leiden tot handhavend optreden. Voor organisaties is het dus essentieel om procedures te ontwikkelen die betrokkenen daadwerkelijk in staat stellen hun rechten uit te oefenen.
3. Datalekken vereisen paraatheid
Het aantal datalekmeldingen is in 2024 fors toegenomen. Van organisaties wordt verwacht dat zij bij een datalek snel en adequaat reageren. Dat betekent technische maatregelen nemen, transparant communiceren met betrokkenen en indien nodig melding doen bij de AP. Proactieve opvolging beperkt de impact voor de betrokkene(n) en versterkt ook vertrouwen van klanten, medewerkers en partners.
4. AI vraagt om regie
Het gebruik van AI binnen organisaties neemt toe. Vaak gebeurt dit in combinatie met de verwerking van persoonsgegevens. Daarmee nemen ook risico’s toe, zoals onvoorziene datalekken of onrechtmatige gegevensverwerkingen. Een zorgvuldige aanpak is essentieel om AI verantwoord en in lijn met de wet te kunnen inzetten. Onderdeel daarvan is onder meer het sluiten van verwerkersovereenkomsten met leveranciers van AI-toepassingen die persoonsgegevens verwerken. Ook is het uitvoeren van een Data Protection Impact Assessment (DPIA) in veel gevallen verplicht, om zo privacyrisico’s te identificeren en passende maatregelen te kunnen treffen.
De AP houdt ook toezicht op AI en algoritmes waarbij persoonsgegevens worden verwerkt. De verwachting is dat dit toezicht de komende jaren verder wordt aangescherpt, mede in het licht van de inwerkingtreding van de AI-verordening. Deze verordening introduceert aanvullende normen voor het gebruik van AI, ook wanneer daarbij geen sprake is van verwerking van persoonsgegevens.
5. Reflectie blijft nodig
Zeven jaar na invoering van de AVG blijft naleving actueel en in ontwikkeling. Organisaties doen er goed aan om regelmatig te reflecteren op hun volwassenheidsniveau op het gebied van privacy. De actualiteiten bieden een goed moment om na te gaan:
- Hoe is de uitvoering van rechten van betrokkenen binnen de organisatie ingericht?
- Wordt voldaan aan de vereisten van geldige toestemming bij het verwerken van persoonsgegevens, in het bijzonder bij het plaatsen van cookies?
- Zijn medewerkers voldoende toegerust om verantwoord om te gaan met AI en persoonsgegevens?
