AVG faalt bij structurele techproblemen

Wie een privacyklacht indient over Facebook, Instagram, WhatsApp of TikTok, komt niet uit bij de eigen nationale toezichthouder. De klacht gaat naar Dublin. De Ierse Data Protection Commission behandelt vrijwel alle grote AVG-zaken tegen mondiale technologiebedrijven. Helen Dixon, voormalig hoofd van die toezichthouder, erkende deze maand bij een bijeenkomst van de Law Society dat de AVG "niet altijd bruikbaar is voor systemische kwesties" (Law Society of Ireland).

Die uitspraak weegt, juist omdat Dixon de Ierse handhaving leidde in de jaren waarin de AVG op volle kracht moest gaan draaien. Acht jaar na invoering ligt de spanning in het systeem open op tafel.

Hoe één stad Europa's privacyhoofdstad werd

De AVG introduceerde in artikel 56 het zogenoemde eenloketmechanisme (EUR-Lex). Het idee was praktisch: een bedrijf zou niet met 27 nationale toezichthouders tegelijk hoeven te onderhandelen. De toezichthouder in het land waar het bedrijf zijn belangrijkste Europese vestiging heeft, behandelt alle grensoverschrijdende zaken. Apple, Google, Meta, TikTok, LinkedIn en Microsoft vestigden hun Europese hoofdkantoor allemaal in Ierland. Daarmee werd de DPC feitelijk de privacytoezichthouder voor een groot deel van de Europese technologiesector (anonym.community).

De handhaving loopt via de samenwerking van artikel 60. De DPC onderzoekt als leidende toezichthouder een klacht en schrijft een ontwerpbesluit. Dat ontwerp gaat vervolgens naar alle andere nationale privacyautoriteiten die door de zaak worden geraakt, de zogeheten betrokken toezichthouders. Maken zij bezwaar, en dat doen zij geregeld, dan verhuist het geschil naar het Europees Comité voor gegevensbescherming, dat een bindend besluit neemt (EUR-Lex). In de praktijk schrijft Dublin dus het vonnis, terwijl 26 andere rechters nog invloed hebben op de strafmaat.

Dit systeem moest voorkomen dat bedrijven de mildste toezichthouder konden uitzoeken. Het loste dat probleem deels op, maar schiep wel een ander: één middelgrote nationale autoriteit werd het knelpunt in de handhaving voor een heel continent.

Hoge boetes, trage inning

De DPC heeft naar schatting 80% van alle grote EU-technologieboetes onder de AVG opgelegd (anonym.community). De opvallendste sancties zijn € 1,2 miljard voor Meta wegens onrechtmatige doorgifte van Europese gebruikersdata aan de Verenigde Staten, € 530 miljoen voor TikTok omdat Chinese technici toegang konden krijgen tot Europese data, en € 310 miljoen voor LinkedIn wegens illegale gedragsprofilering (anonym.legal).

Een boete opleggen is overigens iets anders dan die boete innen. Bedrijven vechten vrijwel elk groot besluit aan, en Ierse rechters kunnen betaling opschorten zolang de procedure loopt. De afstand tussen aangekondigde sancties en daadwerkelijk ontvangen geld blijft daardoor groot. Andere nationale toezichthouders hebben hun eigen beperkingen. Door het samenwerkingsstelsel van artikel 60 kunnen kleinere autoriteiten wel bezwaar maken, maar niet zelfstandig optreden in grensoverschrijdende zaken tegen deze bedrijven. Zij kijken mee terwijl Dublin beslist.

Een reparatie met deadline

Een nieuwe AVG-procedureverordening, die in april 2027 van kracht wordt, voert een termijn van 15 maanden in waarbinnen leidende toezichthouders in grensoverschrijdende zaken een ontwerpbesluit moeten uitbrengen (Netguardia). Onder het huidige systeem kunnen onderzoeken jaren duren. De boete van € 1,2 miljard voor Meta kwam pas vijf jaar na de eerste klacht tot een definitief besluit. De hervorming legt ook duidelijker vast wanneer betrokken toezichthouders bezwaar moeten maken en wanneer een geschil naar het Europees Comité voor gegevensbescherming moet (Netguardia).

Die procedurele ingreep pakt vooral de traagheid aan. De scheefgroei daaronder blijft bestaan: één nationale autoriteit, gebonden aan Iers bestuursrecht en controle door Ierse rechters, draagt de toezichthoudende verantwoordelijkheid voor technologiebedrijven die 450 miljoen Europeanen bedienen. Dixons erkenning dat het kader moeite heeft met systemische kwesties (Law Society of Ireland) wijst precies op wat de hervorming van 2027 ongemoeid laat. Besluiten kunnen straks sneller komen, maar ze gaan nog steeds door dezelfde smalle doorgang. De vraag is dus of Europa uiteindelijk niet alleen de snelheid van het verkeer wil regelen, maar ook de route zelf opnieuw moet ontwerpen.