Zet data niet op slot om privacy te beschermen

Juist in domeinen waar data nodig zijn om risico’s te verkleinen, zoals bij kredietbeoordeling en fraudepreventie, kan dat leiden tot tragere besluitvorming en minder betrouwbare uitkomsten.

Voor riskmanagement en kredietbeoordeling zijn betrouwbare, consistente gegevens nodig over ondernemingen en de mensen erachter. Dat is vaak zakelijke informatie, maar raakt in de praktijk al snel aan persoonsgegevens. Uit vrees om wetgeving (zoals de AVG) onbedoeld te overtreden, kiezen organisaties vaker voor de veilige route: minder delen, minder details, meer afschermen.

Dataparadox

Het probleem is dat risicobeoordeling juist valt of staat met betrouwbare, volledige data, en dus met volledige identificatie. Een sanctiesignaal of fraudemelding is alleen bruikbaar als je met voldoende zekerheid kunt vaststellen dat het om déze persoon of díe onderneming gaat en niet om een naamgenoot. Neem bijvoorbeeld de kredietbeoordelingen voor de acceptatie van een nieuwe leverancier. Hiervoor heb je data nodig die verder gaan dan alleen een adres of telefoonnummer. Als identificerende gegevens van een bestuurder grotendeels ontbreken waardoor je niet meer kunt onderscheiden wie wie is, moeten medewerkers handmatig controleren welke match klopt. Dat kost tijd en geld en het vergroot de kans op fouten.

Het knelpunt van deze discussie is dat datagebruik vaak wordt behandeld als één categorie, terwijl er een groot verschil is tussen data die worden misbruikt (profilering zonder grond, lekken, oneigenlijk hergebruik) en data die onder strikte voorwaarden worden ingezet om fraude, witwassen en wanbetaling te voorkomen.

Europese wetgeving, nationale interpretaties

Daarnaast laat de huidige wetgeving te veel ruimte voor interpretatie, wat leidt tot inconsistenties. Wat in Nederland is toegestaan, kan in België of andere EU-lidstaten verboden zijn. Dit maakt het lastig voor bedrijven die internationaal opereren en grensoverschrijdend data willen uitwisselen. Daarom moeten we beleid en uitvoering in Europa beter op elkaar afstemmen, zodat dataverzameling en -analyse niet onterecht worden beperkt.

Met de Digitale Omnibus wil de Europese Commissie digitale wetgeving (zoals de EU Data Act, de AVG en de AI-verordening) vereenvoudigen en beter op elkaar afstemmen. Het doel is de regeldruk te verminderen en meer ruimte te creëren voor datagebruik en AI. Tegelijkertijd waarschuwt het College voor de Rechten van de Mens dat de vereenvoudiging niet mag leiden tot minder bescherming van persoonlijke grondrechten.

Maak legitiem gebruik toetsbaar

Mijn zorg is dat ook bij nieuwe wetgeving, zoals de Digitale Omnibus, opnieuw te weinig aandacht uitgaat naar het onderscheid tussen misbruik en rechtmatig gebruik van data. Terwijl precies dat onderscheid expliciet moet worden gemaakt.

Daarom is een gerichte aanpak nodig waarin de context centraal staat: waarvoor worden data gebruikt, door wie, onder welke voorwaarden en met welk aantoonbaar doel? Wie kan aantonen zorgvuldig te werken, moet ruimte krijgen, mits dat is geborgd met toetsbare randvoorwaarden zoals governance- en beveiligingseisen, heldere verantwoordelijkheden en audit trails. Zo blijft privacy beschermd én blijft veilige, efficiënte data-uitwisseling mogelijk. Niet door alles dicht te zetten, maar door misbruik te bestrijden en legitiem gebruik gecontroleerd toe te staan.