Het duurt veel te lang voordat privacyklachten van burgers afgehandeld worden. Multinationals die persoonsgegevens willen doorgeven aan bedrijven buiten de EU, moeten vijf tot zeven jaar wachten op goedkeuring van de Autoriteit Persoonsgegevens. Volgens Aleid Wolfsen zijn de achterstanden bij de toezichthouder “lachwekkend”. Er moet op korte termijn meer geld en personeel beschikbaar worden gesteld, anders worden de achterstanden in de nabije toekomst alleen maar erger. Dat zegt de bestuursvoorzitter van de Autoriteit Persoonsgegevens in een interview met dagblad Trouw.
Als je een privacygerelateerde klacht hebt over een instantie die je niet op eigen kracht kunt oplossen, dan kun je aankloppen bij de Autoriteit Persoonsgegevens. Dan moet je echter wel geduld hebben. De toezichthouder, die jaarlijks 25.000 tot 30.000 klachten binnenkrijgt, kampt met grote achterstanden. Daardoor kan het soms wel een half jaar duren voordat je klacht in behandeling wordt genomen.
Voor banken en multinationals is het nog veel erger. Zij moeten vijf tot zeven jaar wachten op een vergunning om klantgegevens buiten de EU op te slaan. Wie dat niet doet, kan op een forse boete rekenen. Voordat de toezichthouder een vergunning verstrekt, wil ze antwoord op de vraag of de aanvrager voldoende maatregelen heeft genomen om persoonsgegevens te beschermen. Gegevensbescherming in andere landen moet van hetzelfde niveau zijn als hier in Europa, of beter. Nu het Europese Hof van Justitie een streep heeft gezet door het Privacy Shield, kijken nationale privacywaakhonden nog kritischer naar de aanvraag.
Sinds de inwerkingtreding van de Algemene verordening gegevensbescherming (AVG) in mei 2018, heeft de Autoriteit Persoonsgegevens nog niet één vergunning verstrekt. Dat de privacywaakhond niet in staat is om alle privacyklachten snel en kordaat af te handelen, is niet iets waar AP-bestuursvoorzitter Wolfsen trots op is. Hij noemt de ellenlange wachttijden “lachwekkend”.
In een interview met dagblad Trouw zegt de topman dat zijn organisatie te klein is voor al het werk dat er verricht moet worden. Bij de toezichthouder zijn nu 182 fulltime banen of fte. Verre van voldoende, aldus Wolfsen. Maar minister Sander Dekker voor Rechtsbescherming maakt hier niet zomaar geld voor vrij. Hij gaf zijn ambtenaren de opdracht om onderzoek te doen naar de capaciteit en mankracht van de Autoriteit Persoonsgegevens. Dat rapport wordt deze week verwacht.
Wolfsen neemt alvast een voorschot. Hij zegt tegen Trouw dat het takenpakket van de Autoriteit Persoonsgegevens alsmaar belangrijker en omvangrijker wordt. “Letterlijk elke dag komen mensen in meer databestanden terecht, bij de bank, de dokter, de politie, de gemeente, de Belastingdienst, Google, noem maar op. Dus wordt ons werk ook elke dag belangrijker, relevanter en omvangrijker. Daar moeten wij goed in meegolven. Dat betekent zo klein blijven als mogelijk en zo groot als nodig.”
De bestuursvoorzitter trekt een analogie met de Autoriteit Financiële Markten (AFM). “Bij de Autoriteit Financiële Markten is hetzelfde gebeurd. Zij hebben nu zo’n zeshonderd fte. En de AFM houdt alleen toezicht op de financiële markten, wij in principe op alles, omdat overal persoonsgegevens kunnen worden verwerkt. En dan zijn wij ook nog eens Europees bevoegd, we mogen en moeten dus ook in andere Europese landen onderzoek doen.”
Volgens Wolfsen zijn er achterstanden over de gehele linie. Er liggen duizenden privacyklachten op de planken waar medewerkers niet of te laat aan toekomen. “Dat snijdt mensen in de ziel”, zo weet Wolfsen. “Wat moet je als burger bijvoorbeeld beginnen tegen grote bedrijven, je werkgever of een overheidsorgaan als de Belastingdienst? Niemand kan zien wat daar gebeurt. Daar heb je ons voor nodig.”
Datahandel, digitale overheid, kunstmatige intelligentie en slimme algoritmes vormen volgens de AP-topman de grootste privacyproblemen op dit moment. Niet alleen wordt er meer informatie opgeslagen, er worden ook steeds meer gevoelige data verwerkt. En de gevolgen van een datalek kunnen gigantisch zijn, zo waarschuwt Wolfsen. “Als jouw data wordt gestolen, is dat veel heftiger dan als jouw fiets wordt gestolen. Je bent je data in het digitale tijdperk.”
Op de vraag of de Autoriteit Persoonsgegevens de juiste prioriteiten stelt, zegt Wolfsen dat hij vindt dat zijn organisatie de juiste keuzes maakt. Als voorbeeld noemen de journalisten die hem interviewen VoetbalTV. Volgens de privacywaakhond overtrad het amateurvoetbalplatform de AVG-regels door beelden rechtstreeks uit te zenden van voetbaltrainingen en -wedstrijden, zonder individuele afspraken te hebben gemaakt met de spelers. Jaarlijks ging het om 80.000 wedstrijden van 150 amateurclubs. Inmiddels is het voetbalplatform van Talpa Networks failliet verklaard.
“VoetbalTV klinkt misschien heel charmant, maar uiteindelijk wordt hier geld verdiend met opnames van voetbalwedstrijden van kinderen”, zo stelt Wolfsen. “Die beelden zijn over de hele wereld toegankelijk. Dat mag niet zomaar. Je wil dat kinderen vrij en onbespied buiten kunnen sporten. Bovendien heeft het mogelijk een precedentwerking. Vandaag is het VoetbalTV, morgen HockeyTV; komt daarna SchoolpleinTV, SaunaTV en hebben we dan uiteindelijk NederlandTV?”
Het onderzoeken van privacyschendingen en opleggen van boetes zijn niet de enige taken van de Autoriteit Persoonsgegevens. De toezichthouder houdt zich ook bezig met het geven van voorlichting. Daar wordt het gebrek aan mankracht pijnlijk duidelijk. Voor het gehele openbaar bestuur -van gemeentes tot provincies, van zelfstandige bestuursorganen tot ministeries- zijn er 2 fte beschikbaar om voorlichtingsactiviteiten te verzorgen. De financiële sector moet genoegen nemen met 1,75 fte. En dan moet de Brexit nog komen.
Het is niet de eerste keer dat Wolfsen de noodklok luidt over het nijpende personeelstekort bij de Autoriteit Persoonsgegevens. Het ziet ernaar uit dat het pleidooi van de bestuursvoorzitter niet aan dovemansoren gericht is. Minister Dekker voor Rechtsbescherming komt zoals gezegd deze week waarschijnlijk met een rapport waarin hij een uitspraak doet over capaciteit en mankracht van de toezichthouder.
Eerder dit jaar schreef staatssecretaris Raymond Knops van Binnenlandse Zaken en Koninkrijksrelaties (BZK) in een brief aan de Tweede Kamer dat de AP volgend jaar gaat verhuizen naar een pand aan de Lange Voorhout in Den Haag. De verhuizing is noodzakelijk om de beoogde 270 medewerkers van een werkplek te voorzien. Het liefst wil de toezichthouder nog meer mensen aannemen, namelijk 324 fte. De nieuwe locatie biedt ruimte voor maximaal 400 medewerkers.
