Techbedrijven hoeven weinig te vrezen van de Autoriteit Persoonsgegevens (AP). Er volgen vrijwel nooit boetes bij gemelde overtredingen, meldingen van datalekken leiden zelden tot een onderzoek en de ‘autoriteit’ loopt hopeloos achter de feiten aan bij het toezicht op nieuwe ontwikkelingen. De privacy-toezichthouder erkent dat het niet aan de wettelijke taak voldoet.
Dat blijkt uit een rapport van KPMG en een reactie van AP op die uitkomsten. Het onderzoeksbureau schetst een ontluisterend beeld van het functioneren van de AP. De onderzoekers concluderen dat de autoriteit in de volgende kabinetsperiode flink moet uitbreiden om burgers te beschermen en bedrijven te helpen in ‘digitaliserend Nederland’.
Om de wettelijke taken uit te kunnen voeren, moet de AP tussen 2021 en 2025 groeien van 184 fte naar 470 fte en ruim 66 miljoen euro in 2025, schrijft KPMG in de ‘Meerjarenbegroting 2021-2025’ die de AP onlangs naar buiten bracht.
In een toelichting op het rapport schrijft AP dat ontwikkelingen als gezichtsherkenning, internet of things, algoritmes, volgsoftware, datahandel, sexting en smartphonetechnologie ‘adequaat toezicht vereisen.’ Vervolgens blijkt uit de bijgevoegde stukken dat de AP op alle vlakken achter de feiten aanloopt.
Gevolgen achterstanden AP
- 1.850 klachten van burgers liggen op de plank.
- Slechts 0,04% van de 27.800 (2019) klachten/gemelde overtredingen leidt tot een sanctie (bijvoorbeeld boete).
- Met tips van burgers kan de AP bijna niets doen.
- Datalekken (2019: 27.000) krijgen te weinig opvolging: maar 0,3% leidt tot onderzoek.
- Goedkeuring van binding corporate rules (BCR), waarmee bedrijven data met landen buiten de EU mogen delen, duurt inmiddels vijf jaar.
- (Internationale) onderzoeken duren lang of kan de AP niet afmaken. Of überhaupt niet starten.
- Voorlichtende activiteiten aan burgers en bedrijven liggen vrijwel stil.
- De AP doet nauwelijks verplichte onderzoeken naar grootschalige Europese informatiesystemen (politie en justitie).
- Toezicht op algoritmes die persoonsgegevens verwerken komt niet van de grond.
- De AP heeft onvoldoende capaciteit om boetes op te leggen.
- De AP kan onvoldoende deelnemen aan het maatschappelijk debat over relevante onderwerpen als ai en de rol van grote techbedrijven.
Bron: Factsheet Meerjarenbegroting en groeiplan AP van KPMG.
AVG
In mei 2018 werd de Algemene verordening gegevensbescherming (AVG) van kracht, de nieuwe Europese privacywet die leidde tot veel extra taken en werkzaamheden voor de AP. Door het achterblijven van budget en personeel is van een autoriteit nauwelijks sprake.
De AP stelt zelf dat het momenteel niet aan haar wettelijke taak voldoet en niet toekomt aan de uitvoering van haar strategische prioriteiten. Ook dreigt de AP verder achter te lopen op nieuwe ontwikkelingen.
Algoritmes
Uit het onderzoek van KPMG komt ook naar voren dat het toezicht op algoritmes door gebrek aan capaciteit onvoldoende van de grond komt. ‘Daardoor ontstaan risico’s op het gebied van discriminatie, uitsluiting en schending van burgers. Voor effectief toezicht op algoritmes zijn investeringen bij de AP nodig’, aldus KPMG.
AP: ‘Nagenoeg elke organisatie verwerkt persoonsgegevens. Daardoor houden we toezicht op meer organisaties dan welke andere toezichthouder dan ook. Met de huidige 184 fte kunnen we hier nog onvoldoende uitvoering aan geven. Ter illustratie: andere ‘brede’ toezichthouders als de AFM, ACM en NVWA tellen respectievelijk 600, 641 en 2.440 fte. De meerjarenbegroting laat het groeipad zien hoe ook de AP zich tot een volwaardige toezichthouder kan ontwikkelen.’
Ook uit onderzoek van PwC in 2018 kwam naar voren dat het budget van de AP verder moet groeien en dat de taken en middelen ‘niet in balans zijn’. Die oproep is tot nu toe niet gehoord en KPMG maakt pijnlijk duidelijk waartoe de gebrekkige slagkracht van de AP leidt.
‘Er zal stevig uitgebreid moeten worden’
AP laat weten dat minister Dekker (rechtsbescherming) voor komend jaar het beschikbare budget voor de AP verhoogt tot een bedrag ‘dat gelijk staat aan de gerealiseerde lasten van 2020’ AP: ‘Met die toezegging bestendigt de minister de huidige bezetting van de 184 fte ook in 2021.’
‘Het is hierna aan de Tweede Kamer en het volgende kabinet om met het KPMG-onderzoek en de meerjarenbegroting ruimte te geven voor de verdere ontwikkeling van de AP’, meldt de autoriteit.
AP-voorzitter Aleid Wolfsen reageert: ‘Het is goed dat minister Dekker het mogelijk heeft gemaakt om te kunnen investeren in onze organisatie. En we nemen ook met instemming kennis van het feit dat de minister heeft laten weten dat dat komend jaar kan worden gecontinueerd. Voor dit jaar kregen we al de ruimte om daarop te anticiperen. Maar ook in de komende kabinetsperiode zal er dus nog stevig uitgebreid moeten worden.’
Meer boetes is meer budget.