Vorige maand stemde een ruime meerderheid van de Tweede Kamer in met een motie om de Autoriteit Persoonsgegevens (AP) de komende jaren flink te laten groeien.(1) Waar de AP het op dit moment nog met 184 voltijdsmedewerkers moet doen, zou dit aantal vanaf 2022 gaan stijgen naar uiteindelijk 470 medewerker. De motie werd ingediend tijdens een debat over het GGD-datalek, waarin de rol van AP eens te meer werd benadrukt.
In 2020 heeft de AP slechts 0,04% van de privacyklachten en 0,3% van de gemelde datalekken kunnen onderzoeken. Volgens Tweede Kamerlid en indiener Hijink is het dan ook glashelder: de autoriteit heeft op dit moment simpelweg niet de middelen om haar werk goed te kunnen doen. Hijink baseert zich daarbij op een onafhankelijk onderzoek dat KPMG recent uitvoerde in opdracht van de AP en het ministerie van Justitie en Veiligheid. Daarin werd onderzocht welke taken de AP precies moet uitvoeren en hoeveel financiële middelen daarvoor nodig zijn. Het rapport loog er niet om: voor een doeltreffende taakuitvoering zal het jaarlijks budget van € 21 miljoeln omhoog moeten naar ruim € 66 miljoen.
Ondanks de conclusie van dit rapport, reageerde minister Dekker aanvankelijk terughoudend. Zo schreef hij eind vorig jaar in een brief aan de kamer dat de cijfermatige uitkomsten wat hem betreft teveel een raming zijn en een te grote bandbreedte geven om hier financiële consequenties aan te kunnen verbinden. Ook tijdens het Kamerdebat kon de motie niet op zijn steun rekenen. Volgens Dekker is er de afgelopen jaren steeds meer geld naar de AP gegaan. Bovendien, vond hij dat deze discussie eigenlijk pas gevoerd zou mogen worden bij de volgende begrotingsronde. De minister moest de motie in deze vorm ‘zeker afraden’, maar dit advies werd door 79 voorstemmende Kamerleden weggewuifd.
Meer mankracht en budget. In de periode 2016-2020 groeide het personeelsbestand inderdaad met 158%, en ook het budget nam met 130% toe. Om te beginnen goed nieuws, maar de klacht dat de AP nog niet op volle sterkte opereert speelt al veel langer.
KPMG was niet de eerste om een onderzoek te starten. Zo onderzocht adviesbureau AEF in 2017 – toen de AVG nog aanstaande was – welke capaciteit AP in het licht van die nieuwe wetgeving nodig zou hebben. AEF rekende met een aanname van maximaal 10.000 datalekmeldingen per jaar, terwijl dit aantal in 2018 al ruim het dubbele zou bedragen. Vanzelfsprekend was de omvang op dat moment lastig in te schatten, maar zelfs in dat scenario werd het benodigde budget op € 19,6 tot € 29,4 miljoen per jaar geschat.
Hierop volgde een eindrapportage van Klaas Dijkhoff, de toenmalig staatssecretaris van Veiligheid en Justitie. Daaruit bleek dat de AP ook voor de invoering van de AVG al onder druk stond. Dit hield vooral verband met de meldplicht van datalekken, die op 1 januari 2016 in werking trad. Verder zou de AP voor de handhaving van de AVG minimaal 185 voltijdsmedewerkers nodig hebben. Eind 2018 telde AP 157 medewerkers, daarnaast besloot minister Dekker om de AP vanaf 2019 een budget van € 18,5 miljoen. toe te kennen.
Een stevige personele groei zou een welkome stap in de goede richting zijn. Maar let wel: een motie omvat slechts een aan het kabinet gerichte wens van de Tweede Kamer. In theorie zou de minister deze motie dus nog naast zich neer kunnen leggen. Daarnaast verdient opmerking dat AP de afgelopen jaren heeft gekampt met een structureel capaciteitstekort. In een interview aan Trouw zegt AP bestuursvoorzitter Aleid Wolfsen dat dit tekort inmiddels tot ‘lachwekkende achterstanden’ heeft geleid.(2) Mocht de regering gehoor geven aan de motie dan is daarmee dus nog niet gezegd dat alle problemen verholpen zullen zijn.
Voetnoten
(1) https://www.privacy-web.nl/nieuws/kamerbrief-over-uitvoering-motie-hijink-over-het-budget-van-de-autoriteit-persoonsgegevens
(2) https://www.trouw.nl/binnenland/aleid-wolfsen-gestolen-data-zijn-veel-erger-dan-een-gestolen-fiets~b5aeaa91/
Wilt u volledig op de hoogte zijn van de actualiteiten binnen het privacyrecht? Volg dan de 'Actualiteitencursus AVG'
Bijna drie jaar nadat de Algemene Verordening Gegevensbescherming (AVG) daadwerkelijk van toepassing is geworden, wordt geleidelijk duidelijk hoe nadere invulling wordt gegeven aan de veelal open normen in de AVG en de Uitvoeringswet AVG (UAVG).
Op 6 april 2021 geeft privacyspecialist Thomas van Essen van SOLV Advocaten aan de hand van jurisprudentie, de adviezen en besluiten van de AP en opinies en guidelines van de European Data Protection Board (EDPB) een beeld van hoe deze normering in de praktijk werk.
Klik hier voor meer informatie over de 'Actualiteitencursus AVG'.
Klik hier voor meer artikelen van SOLV Advocaten.
