In oktober verscheen Aleid Wolfsen, de voorzitter van de Autoriteit Persoonsgegevens (AP), voor de parlementaire enquêtecommissie. Tijdens het verhoor besprak Wolfsen de uitdagingen waarmee de AP de afgelopen jaren te maken heeft gehad, met name met betrekking tot privacyschandalen binnen de overheid, zoals die bij de Belastingdienst en het UWV. Deze week sprak de redactie van PONT | Data & Privacy met hem om dieper in te gaan op deze uitdagingen. Wolfsen schetst in een kort gesprek zijn visie op de rol van zijn organisatie in een samenleving die steeds digitaler wordt.
Met de toenemende digitalisering wordt het belang van toezicht steeds groter. “Het is een beetje druk hier”, zegt Aleid Wolfsen, voorzitter van de AP. Op dit moment richt zich de voornamelijk op de voorbereidingen voor de komende verkiezingen en wat ze gaan opleveren. Dit natuurlijk naast lopende onderzoeken en de internationale samenwerking. ”Dus we vervelen ons geen seconde.”
Wat heeft u tijdens het afgelopen jaar geleerd aangaande de toezichtactiviteiten van de AP? Welke fouten zou u niet weer willen begaan volgend jaar?
“Waar we de afgelopen jaren veel in hebben geleerd, waar we ook veel aan het doen zijn, is alles wat met het toezicht op algoritmen te maken heeft. Dat hebben we gezien bij de toeslagenaffaire door ons onderzoek bij de Belastingdienst naar het discriminerende gebruik van hun algoritmen. De gevaren die algoritmische verwerkingen meebrengen zijn heel scherp geworden in de buitenwereld. Daarover werd ik ook ondervraagd door de parlementaire enquêtecommissie (1). En dat onderzoek heeft er ook toe geleid dat in het huidige coalitieakkoord extra geld wordt vrijgemaakt voor meer toezicht op algoritmen. Dus daar gaan we de komende jaren fors extra op investeren en ambtshalve onderzoek doen als we daar de middelen voor hebben, omdat burgers gewoon niet weten dat hun data door algoritmen worden verwerkt.”
Tijdens het verhoor bij de enquêtecommissie heeft u opgemerkt dat u veel meer geld nodig zou hebben om basaal te kunnen werken. Dat blijkt onder meer uit externe onderzoeken. Zou u kunnen uitleggen waarvoor dit geld nodig is?
“Ja eigenlijk over de hele linie. Op dit moment hebben we serieuze achterstanden bij de behandeling van klachten. We hebben ook achterstanden bij het afgeven van vergunningen als bedrijven gegevens willen verwerken onder het adequaatheidsbesluit van de Europese Commissie. En ook voor Binding Corporate Rules (BCRs) lopen de achterstanden op , van 5 tot 7 jaar. Ik zeg het maar heel openhartig, maar die achterstanden zijn eigenlijk afschuwelijk. Wij hebben eigenlijk over de hele linie achterstanden waar we eigenlijk niet of nauwelijks aan toekomen, terwijl de digitalisering alleen maar toeneemt.“
Toen zei u ook dat zelfs de begroting geschat in het onderzoek (100 miljoen euro) misschien niet genoeg zou zijn, aangezien de steeds toenemende overheidsschandalen die werkkracht en tijd kosten voor uw organisatie . Wie bepaalt uiteindelijk wanneer er voldoende middelen zijn?
“Natuurlijk geld vragen wij aan de begrotingswetgever. Dus formeel beslist de Tweede Kamer. Dat wil zeggen dat hoewel de voorstellen door het ministerie van Financiën en, in ons geval, van Justitie ingediend worden is er een begrotingswet. Deze instanties hebben een verplichting in zowel het Europese als het Nederlandse recht om ons van voldoende middelen te voorzien In laatste instantie kan de rechter bepalen of dit genoeg is . Wij, de AP, kunnen zelfs, als laatste redmiddel, naar de rechter stappen. In dit kader is de Europese Commissie net weer een enquête gestart om te kijken hoe de toezichthouders In de verschillende landen gefinancierd worden en of dit voldoende is. En zelfs de Europese Commissie kan een land voor de rechter brengen voor het Hof van Justitie, als we niet genoeg worden gefinancierd. Dus heeft de Europese Commissie daar ook een waakhondfunctie.”
Waarom is het moeilijk voor de AP om gehoor te vinden bij de begrotingswetgever als het gaat om haar begrotingswensen, ondanks het evidente belang van meer toezicht?
“Het gaat vooral om onvoldoende bewustzijn in de politiek over het belang van privacy, met name over de risico's van bepaalde gegevensverwerkingen en de gevolgen daarvan voor het leven van mensen. Gelukkig zien we nu dat deze bewustwording zich zowel in het kabinet als binnen de partijen ontwikkelt in aanloop naar de aankomende verkiezingen.”
Sommige Kamerleden van de VVD, CDA en PVV fracties hebben recent geklaagd dat u soms een te politieke rol speelt bij het adviseren over wetgevingsinitiatieven (2). Hoe ziet u deze spanning tussen de democratische rol van het parlementen uw toezicht?
“Wij vervullen in het geheel geen politieke rol. Onze taak komt voort uit de Europese grondwet, waar is vastgelegd dat er onafhankelijk toezicht moet zijn op de naleving van het grondrecht op bescherming van persoonsgegevens. Er is altijd een gezonde spanning tussen democratie en de rechtsstaat, want de kern van de rechtsstaat zijn de grondrechten. Anderzijds kan een democratisch instituut als het parlement grondrechten van mensen schenden, en wat wij doen is dat parlementaire werk toetsen aan de beginselen van de rechtsstaat. Dat doen wij totaal apolitiek, zoals ook een rechter op het Hof van Justitie, want dat is een plicht die we opgelegd hebben gekregen”.
Over deze balans gesproken, laat ons de controversiële CSAM-verordening van de Europese Commissie als voorbeeld nemen. Het plan van de Commissie is om privé conversaties van burgers op elektronische apparaten verplicht te laten scannen om de verspreiding van kinderpornotegen te gaan. Er is een heftig debat ontstaan waarbij de European Data Protection Supervisor (EDPS) een proactieve campagne is begonnen om dit te voorkomen. Waar staat u in deze kwestie en gelooft u dat er sprake van een grondrecht op versleutelde communicatie moet zijn?
“De EDPS, zeg maar onze collega, heeft een heel goed en helder standpunt over het wetsvoorstel. Daar zijn we zeer mee eens. Gezamenlijk hebben wij met andere toezichthouders in Europa ook dit standpunt uitgedragen, namelijk dat het CSAM-voorstel wat er nu ligt te ver gaat. Als er een achterdeur erbij wordt gecreëerd in versleutelde communicatie van iedereen zou dit fundamenteel in strijd zijn met de grondrechten. Kinderporno is zeker heftig en dat moeten we bestrijden. Maar hier heb je precies die spanning tussen democratie, veiligheid en de rechtsstaat, waar we mee begonnen waren. Het zou niet mogelijk zijn om zo door privé conversaties door te slaan dat mensen zich zorgen moeten beginnen te maken over hun privacy. Het recht op versleuteling blijft onderdeel van een grondrecht. Dat betekent dat een rechter onder bepaalde omstandigheden een verzoek kan goedkeuren van handhavingsinstanties om in te breken als er sprake is van een verdenking. Er mag echter geen standaard achterdeur naar privé chats bestaan. Dat is in strijd met het Europese Handvest”.
Meneer Wolfsen, als we op de lange termijn kijken, waar zou u uw organisatie over 10 jaar willen zien?
“Ik zou graag willen zien dat wij op een nette en goede manier alle klachten kunnen behandelen van burgers. Dat we toezichtachterstanden hebben is eigenlijk onverantwoord in een rechtsstaat. U heeft een paar overheidsschandalen genoemd, zoals bij het Kadaster en de Belastingdienst, maar het gaat ook af en toe ernstig mis in de private sector. Daarop moeten wij op een preventieve manier op kunnen treden door goede voorlichting te geven en ambtshalve onderzoek te doen. Dat is de kern van ons werk.”
(1) https://privacy-web.nl/nieuws/aleid-wolfsen-ap-voor-de-enquetecommissie-fraudebeleid-en-dienstverlening-het-moet-anders/;
(2) https://www.rtlnieuws.nl/nieuws/artikel/5391728/tweede-kamer-kritiek-autoriteit-persoonsgegevens-aleid-wolfsen-vvd-cda-pvv.
