Het verschil tussen de aanpak binnen en buiten de EU
Weinig onderwerpen laten zo'n groot verschil zien tussen de EU en landen daarbuiten als gegevensbescherming. Binnen de EU geldt één brede wet die van toepassing is op vrijwel elk bedrijf dat persoonsgegevens van EU-inwoners verwerkt, ook een webshop die buiten de EU is gevestigd. Buiten de EU, bijvoorbeeld in de VS, bestaat geen vergelijkbare landelijke wet die alles dekt; bescherming komt daar in plaats daarvan uit een mix van een toezichthouder die optreedt tegen oneerlijke praktijken, een handvol wetten voor specifieke sectoren, en losse deelstaatwetten die alleen gelden als je toevallig in een staat woont die zo'n wet heeft aangenomen.
De AVG volgt de webshop, niet alleen het land van de koper
De Algemene Verordening Gegevensbescherming (AVG) geldt voor elk bedrijf dat goederen of diensten aanbiedt aan mensen in de EU en hun persoonsgegevens verwerkt, ongeacht waar dat bedrijf juridisch is gevestigd. Dit is specifiek belangrijk voor online shoppen, want het betekent dat de gegevensbeschermingsrechten van een EU-inwoner niet verdwijnen alleen omdat er is gekocht bij een webshop buiten de EU, zolang die webshop zich wel op EU-klanten richtte. Kernrechten onder de AVG zijn onder meer het recht op inzage in een kopie van je persoonsgegevens, het recht om onjuiste gegevens te laten corrigeren, en het recht om gegevens in bepaalde gevallen te laten wissen. Een bedrijf dat zo'n verzoek ontvangt, moet daar in het algemeen binnen een maand op reageren; bij een complex verzoek kan die termijn worden verlengd, maar het bedrijf moet je dat laten weten en uitleggen waarom. Wordt een verzoek niet goed afgehandeld, dan kun je een klacht indienen bij de bevoegde nationale privacytoezichthouder.
Landen buiten de EU: soms een vergelijkbaar, apart kader
Sommige landen buiten de EU die zich eerder aan Europese regels hadden gecommitteerd, houden na het loslaten van die band in de praktijk een grotendeels vergelijkbaar stelsel aan, met in essentie dezelfde individuele rechten als onder de AVG: inzage, correctie, verwijdering, beperking van verwerking, gegevensoverdraagbaarheid en het recht om bezwaar te maken tegen bepaalde verwerking, met over het algemeen ook daar een verwachte reactietermijn van ongeveer een maand, gecontroleerd door een eigen nationale toezichthouder. Zo'n eigen kader kan bij de start bijna identiek zijn aan de EU-regels, maar blijft juridisch een apart stelsel en kan in de loop van de tijd, naarmate beide kanten hun eigen regels aanpassen, wel degelijk uit elkaar gaan lopen. Dat is dus iets om in gedachten te houden in plaats van er zomaar van uit te gaan dat de regels altijd exact gelijk blijven.
De VS: geen enkele wet, maar een lappendeken
De VS kennen geen brede, landelijke privacywet die regelt hoe een webshop jouw gegevens mag verzamelen en gebruiken. In plaats daarvan treedt een federale toezichthouder op tegen oneerlijke of misleidende handelspraktijken op basis van zijn algemene bevoegdheid, ook in gevallen waarin een bedrijf zijn eigen privacybeloftes breekt, en dekken enkele federale wetten specifieke sectoren, zoals gezondheidsinformatie of communicatie gericht op kinderen, zonder een algemeen recht te geven op persoonsgegevens die door een gewone webshop worden verzameld. Waar bredere rechten bestaan, komen die doorgaans uit deelstaatwetgeving in plaats van federale wetgeving. Californië is het meest uitgewerkte voorbeeld: de privacywetgeving van die staat geeft inwoners van Californië rechten zoals weten welke persoonsgegevens een bedrijf over hen heeft verzameld, verwijdering daarvan aanvragen, en zich afmelden voor de verkoop of het delen van die gegevens, plus sinds een latere uitbreiding het recht om onjuiste gegevens te laten corrigeren. Deze rechten gelden vanwege woonplaats in Californië, niet vanwege de vestigingsplaats van een webshop, en een koper buiten Californië kan er doorgaans geen beroep op doen, zelfs niet bij aankoop bij een in Californië gevestigde retailer.
Wat dit betekent voor een gewone online bestelling
- Binnen de EU kun je in het algemeen elke webshop die zich op jouw markt richt, vragen welke gegevens hij over je heeft, deze laten corrigeren, of laten verwijderen, met een verwachte reactietermijn van ongeveer een maand.
- In de VS hangt het sterk af van de staat waar je woont of je een vergelijkbaar recht hebt; een inwoner van een staat zonder brede privacywet heeft minder formele rechten dan een inwoner van Californië die bij dezelfde site koopt.
- Eisen rond cookies en tracking-toestemming zijn binnen de EU het strengst; bij een Amerikaanse webshop is de kans groter dat tracking standaard plaatsvindt, met eventueel een afmeldrecht via een deelstaatwet.
- Niets hiervan hangt af van of een aankoop met een kortingscode of couponcode is gedaan; rechten op gegevensbescherming zijn gekoppeld aan de verzamelde gegevens, niet aan de betaalde prijs of gebruikte korting.
Op daily-coupons.info vermelden we codes bij honderden webshops in veel landen zonder shoppers te vragen een account aan te maken en zonder cookies te plaatsen om bezoeken te volgen, zoals verder toegelicht op onze over ons-pagina en onze FAQ-pagina.
Dit artikel is algemene informatie, geen juridisch advies. Rechten op gegevensbescherming hangen af van waar je woont, waar het bedrijf actief is en welke specifieke wet van toepassing is; raadpleeg voor een specifieke situatie de relevante privacyverklaring en, indien nodig, je nationale privacytoezichthouder.
Veelgestelde vragen
Geldt de AVG voor een inwoner van het VK die bij een EU-webshop koopt?
In het algemeen komt bescherming nu van het eigen kader van het VK, omdat de inwoner van het VK degene is wiens gegevens worden verwerkt, al zou een in de EU gevestigde webshop die zich op VK-klanten richt daarnaast ook rekening moeten houden met de VK-regels, los van zijn EU-verplichtingen.
Kan ik een Amerikaanse webshop vragen mijn gegevens te wissen als ik niet in een staat met privacywet woon?
Je kunt het altijd vragen, en sommige bedrijven werken vrijwillig mee of passen hun ruimste beleid toe op alle klanten, maar er is mogelijk geen wettelijke verplichting die het bedrijf dwingt dit te doen als jouw staat geen wet heeft die dat recht creëert.
Betekenen cookiebanners overal hetzelfde?
Nee. Binnen de EU vereisen regels uit de gegevensbeschermings- en e-privacywetgeving over het algemeen duidelijke toestemming voordat niet-noodzakelijke cookies worden geplaatst. In grote delen van de VS bestaat geen vergelijkbare algemene eis, al voegen sommige deelstaatwetten specifieke afmeldrechten toe rond de verkoop of het delen van gegevens.
Wat moet ik doen als een webshop mijn gegevensverzoek negeert?
Binnen de EU kun je een klacht escaleren naar de bevoegde nationale privacytoezichthouder, nadat je het bedrijf een redelijke kans hebt gegeven om te reageren. In de VS hangen de mogelijkheden af van de staat en een eventuele toepasselijke wet, waarbij het bureau van de procureur-generaal van de staat vaak het aanspreekpunt is als er een deelstaatprivacywet bestaat.
