Ondernemen is vooruitzien, durven en doen. Het is risico’s nemen en nooit écht vakantie hebben. Hoewel die uitdagingen van alle tijden zijn, komt er voor de moderne ondernemer nog wat bij. Hij moet wegwijs zien te worden – en blijven – in verschillende wetswijzigingen en wetsvoorstellen die elkaar in rap tempo opvolgen, zowel op nationaal als op Europees niveau. Het is een administratieve last die met name zwaar drukt op de schouders van de kleinere ondernemer die bij (de ontwerpfase van) nieuwe wet- en regelgeving te weinig in acht genomen wordt.
“De politiek belooft het al dertig jaar: minder regels en minder administratie. In de praktijk ervaren kleine ondernemers het tegenovergestelde”, stelt Hans Biesheuvel, voorzitter van ONL voor Ondernemers (ONL). Hij signaleert een discrepantie tussen de economie waarin de Nederlandse ondernemer werkt, en de economie waarop een groot deel van de regelgeving gebaseerd is. “Heel veel wet- en regelgeving wordt opgesteld met de economie van voor de crisis in het achterhoofd. Die werd gedomineerd door grote bedrijven. Tegenwoordig is klein het nieuwe groot: vooral startups en wendbare mkb’ers zijn de winnaars van nu.”
Impact
Die groep is groot en blijft groeien: een onderneming telt gemiddeld vier werknemers, vertelt Biesheuvel. Dat feit lijkt onvoldoende op het netvlies te staan van de politiek. Met als gevolg dat men te weinig nadenkt over de impact van nieuwe wet- en regelgeving op deze groep. De invoering van de Algemene verordening gegevensbescherming (AVG) in mei 2018 was hier een goed voorbeeld van, meent de voorzitter. Een grote bank of telecomaanbieder heeft een afdeling die alles regelt met betrekking tot nieuwe regelgeving, maar het overgrote deel van de ondernemers heeft dat niet. Logischerwijs heeft menig mkb’er ruim een jaar na invoering nog moeite om aan de AVG te voldoen.
Onduidelijkheid en angst
Eveline Smith, beleidsmedewerker bij ONL, vertelt dat ondernemers de AVG liever op de lange baan schuiven. Veel bedrijven ervaren sinds medio 2016 snelle groei, waardoor ze plotseling van de eerste naar de vijfde versnelling moesten schakelen. Dan is het lastig om ook nog eens na te denken over de vereisten van nieuwe wetgeving. Bovendien is het in de praktijk niet altijd duidelijk wat die vereisten nu daadwerkelijk zijn. Ten eerste rijst de vraag hoe Europese wetgeving zoals de AVG zich verhoudt tot Nederlandse wetgeving. Komt deze erbovenop, ter vervanging van, of is hij ondergeschikt? Smith: “De termen Europese richtlijn en verordening zijn sowieso onbekend bij mensen. Wanneer ze dan een half jaar voor de invoering informatie ontvangen, is dat goed bedoeld maar in de praktijk een zware last in een te korte periode.” Dat zou anders kunnen, omdat een dergelijke verordening al jaren in de pijplijn zit.
Daarnaast roept de AVG-tekst zelf vragen op, bijvoorbeeld over de toegestane bewaartermijn van persoonsgegevens. Op de website van de Autoriteit Persoonsgegevens is te lezen: “Er is op grond van de Algemene verordening gegevensbescherming geen concrete bewaartermijn voor persoonsgegevens. Organisaties bepalen zelf hoe lang zij persoonsgegevens bewaren. Hierbij kijken zij naar hoe lang de gegevens nodig zijn voor het doel waarvoor deze zijn verzameld of worden gebruikt.” In de praktijk is het dus aan de ondernemer zelf om te bepalen hoe lang het bewaren van bepaalde gegevens noodzakelijk is. Mocht de afweging van de ondernemer achteraf echter onjuist blijken, dan hangt hem wel een boete boven het hoofd. “Dat creëert angst en onduidelijkheid. De AVG kan je niet exact vertellen hoe lang je persoonsgegevens mag bewaren, maar de Autoriteit Persoonsgegevens is wel bevoegd je erop af te rekenen als blijkt dat de verordening anders geïnterpreteerd had moeten worden”, aldus Smith.
Gegevensbescherming
Natuurlijk zijn thema’s zoals privacy belangrijk om over na te denken en komt de vraag om betere gegevensbescherming ook bij de ondernemer zelf vandaan. Biesheuvel vertelt over een ondernemer die zijn Tesla wilde verkopen, maar zich afvroeg wat er met al zijn opgeslagen gegevens zou gebeuren. “Zo’n Tesla is een rijdende computer, die weet van alles over jou. Hij wilde niet dat die informatie bij de volgende koper terecht zou komen.” Smith beaamt dat iedere ondernemer het ermee eens zal zijn dat men op een normale manier met gegevens moet omgaan. De positieve impact van de AVG in zijn huidige vorm is echter weinig tastbaar voor kleine bedrijven. Smith: “De AVG is ingevoerd omdat onder andere internetgiganten en banken persoonsgegevens op een onwenselijke manier gebruikten en opsloegen. Het is heel goed dat de AVG daarop inspeelt om personen te beschermen.” Er is echter een groot verschil tussen de hoeveelheid gegevens die dat soort bedrijven gebruikt, en de gegevens die de visboer op de hoek opslaat voor een maandelijkse nieuwsbrief.
Verbetering mogelijk
Het mag duidelijk zijn dat de invoering van de AVG voor kleinere ondernemers niet vlekkeloos verloopt. Gevraagd naar hoe het beter kan, heeft Biesheuvel een aantal suggesties paraat. Het begint bij objectieve, goede voorlichting in begrijpelijke taal. “Wij hebben ons natuurlijk in de tekst verdiept, maar na twee zinnen haak je eigenlijk al af. Er wordt gesproken over directe gegevens, indirecte gegevens – wat houdt dat in?” De voorzitter pleit voor een duidelijke gedragscode waarin iedere ondernemer kan achterhalen wat de minimumeisen zijn waaraan hij moet voldoen. Dat zou de angst voor boetes kunnen wegnemen, die nu als een schaduw over ondernemend Nederland hangt. Ten tweede zou er ten behoeve van de rechtszekerheid een degelijke klachtenprocedure moeten zijn. Bijvoorbeeld voor het geval dat iemand het oneens is met een opgelegde boete. Want ook al past iemand de AVG naar eigen inzicht goed toe, de verordening kent wat open eindjes, merkt Biesheuvel op.
Met name op het gebied van betere informatievoorziening krijgt hij bijval van Smith, die aangeeft dat daar nog veel winst te behalen valt. Het AVGstappenplan dat op veel websites te vinden is, stelt bijvoorbeeld dat een bedrijf een verwerkingsregister moet hebben. Uitleg over wat dat in de praktijk inhoudt, ontbreekt vervolgens. “De gemiddelde ondernemer wil weten hoe zo’n register eruitziet, aan welke voorwaarden het moet voldoen en of er een sjabloon beschikbaar is”, zegt Smith. Ook de zes grondslagen op basis waarvan een organisatie persoonsgegevens mag verwerken kunnen wat haar betreft beter worden uitgelegd met specifieke voorbeelden waar ondernemers zich in kunnen herkennen.
‘Het houdt een keer op’
Hoewel de intentie goed is, stelt een ondoordachte uitvoering de AVG in een negatief daglicht. De uitdaging voor de overheid is om enerzijds te voldoen aan de oproep vanuit de samenleving om persoonsgegevens te beschermen, en anderzijds geen overhaaste beslissingen te nemen. Gebeurt dat wel, dan riskeert men significante schade, waarschuwt Biesheuvel. In het geval van de AVG wordt de hele markt meegenomen in maatregelen tegen de grote bedrijven. Die regeldruk is een legitieme zorg, zeker in een tijd waarin wendbaarheid cruciaal is. “Als je maar vier medewerkers hebt, aan allerlei eisen moet voldoen en ook nog eens geld moet verdienen, houdt het een keer op. Hoe meer regels we op bedrijven afvuren, hoe minder flexibel ze kunnen zijn in de markt. Dat moeten beleidsmakers zich realiseren.”
