Privacy-waakhond met grote plannen en krap budget

Nooit eerder rinkelden de telefoons op de burelen van de Autoriteit Persoonsgegevens (AP) zo onophoudelijk als de afgelopen weken. Met het ingaan van de Europese privacywetgeving zijn alle ogen gericht op de prestaties van de betrekkelijk kleine privacywaakhond. Bedrijven en media overspoelen de Autoriteit met verzoekjes. Wie geen overuren maakt, hoort er niet meer bij.

De verantwoordelijkheid voor de Autoriteit, die vanaf deze vrijdag toezicht moet houden op de goede uitvoering van de Algemene verordening gegevensbescherming (AVG), is groot. Ineens is de toezichthouder bevoegd om boetes van maximaal 20 miljoen euro of 4 procent van de jaaromzet op te leggen aan bedrijven die tegen de regels in persoonsgegevens opslaan of op een andere manier de AVG schenden. Zulke macht had de Autoriteit nog nooit.

Sinds 2017 groeit de Autoriteit Persoonsgegevens als een puber die lang op zijn groeispurt moet wachten, maar daarna de rest van de klas voorbijvliegt. Werkten er vorig jaar nog zo’n 70 personen bij de toezichthouder, inmiddels is dat met 120 voltijdwerkers bijna het dubbele. In het voormalig ministerie van Economische Zaken, het statige pand waarin de Autoriteit zetelt, was voor die nieuwe medewerkers geen plek. De helft van de staf zit noodgedwongen bij de rechtbank van Den Haag, vijf minuten lopen verderop.

Eigenlijk moest de Autoriteit nu 140 werknemers herbergen, maar nóg sneller groeien lukte niet. Nieuwe collega’s moeten worden ingewerkt. Daarvoor heeft de organisatie zeker de komende weken geen tijd.

Volgens kenners heeft de onafhankelijke toezichthouder het lastig met het verstouwen van de huidige groei. ‘De Autoriteit is nu erg met zichzelf bezig’, zegt Gerrit-Jan Zwenne, hoogleraar recht en de informatiemaatschappij aan de Universiteit Leiden. ‘De organisatie is naar binnen gericht’, stelt privacyadvocaat Christiaan Alberdingk Thijm. ‘Maar nu komt het moment om naar buiten te treden.’

Weinig handjes

De verantwoordelijkheid van de Autoriteit Persoonsgegevens is groot. Zowel de slager op de hoek als een techgigant als Facebook moet aan de nieuwe privacywet voldoen. Aan de toezichthouder de taak om bedrijven te adviseren en zelf onderzoek te doen naar mogelijke schendingen. Ook kunnen burgers zich melden met klachten: mag dit bedrijf mijn gegevens zomaar opslaan?

De Autoriteit Persoonsgegevens treedt daarmee definitief uit de schaduw. In de Autoriteit-familie was en is het budget van de AP (7,7 miljoen euro in 2017, 12,7 miljoen in 2018) beduidend kleiner dan dat van grote broers als de AFM (Autoriteit Financiële Markten, 98,5 miljoen in 2017) en de ACM (Autoriteit Consument & Markt, 91 miljoen). Tussen dat budgettair geweld kwam de AP in het gedrang.

Lang was er ook weinig aandacht voor het recht op privacy, zeker in de jaren na de aanslagen van 11 september in New York. Veel burgers ruilden graag wat van hun privacy in voor zekerheid, zelfs als dat schijn was.

‘We hadden 30 tot 40 mensen in dienst, en dat was inclusief de ict’ers en secretaresses’, beschrijft Jacob Kohnstamm zijn eerste jaren. Kohnstamm was tussen 2004 en 2016 voorzitter van het College bescherming persoonsgegevens (CBP), zoals de Autoriteit tot zijn afscheidsjaar heette. ‘In het begin was de publieke opinie zo dat wie voor het recht op privacy pleitte, terroristen op het schild hees. En als je moet kiezen tussen het beschermen van persoonsgegevens of overhoop geschoten worden, dan is de keuze makkelijk.’

Onder Kohnstamm besloot de Autoriteit geen bedrijven meer te adviseren of individuele klachten van burgers na te gaan, zoals toezichthouders in het buitenland deden. Daarvoor waren er te weinig handjes. In plaats daarvan richtte de Autoriteit haar pijlen op grote bedrijven in de (semi-)publieke sfeer als de Nederlandse Spoorwegen (NS).

Zo maakte ze een nummer van de reisgegevens die de ov-chipkaart verzamelde. De NS bleek de gegevens van kaarthouders zonder toestemming te gebruiken voor marketingdoeleinden. Ook stelde de AP privacyschendingen van techbedrijven als WhatsApp aan de kaak. Voor Kohnstamm was zulk wapengekletter de enige manier om zijn magere club een smoel te geven.

Krap budget

Bij de toezichthouder werken ideologisch bevlogen mensen, zegt Kohnstamm. ‘Bij ons heerste sterk het gevoel dat het recht op privacy het waard was om te verdedigen, zelfs al dacht de Nederlandse bevolking daar niet altijd hetzelfde over.’

Aleid Wolfsen, de huidige voorzitter van de Autoriteit, onderschrijft dat. ‘Voor een overheidsdienst betalen wij gemiddeld goede salarissen, maar onze mensen zijn van binnen gemotiveerd’, zegt Wolfsen vanuit Brussel, waar hij zijn Europese evenknieën ontmoet voor de aftrap van AVG. ‘De uitstroom is beperkt, ook al kan een deel van de werknemers elders meer verdienen.’

De laatste jaren heeft de Autoriteit het tij mee. Met de snel om zich heen grijpende digitalisering en de privacyschendingen van blikvangers als Facebook staat het recht op privacy (wat wil ik dat bedrijven van me weten?) hoog op de agenda.

Met de nieuwe taken krijgt de AP ook een hoger budget: structureel 5 miljoen erbij in 2018 en nog eens 2 miljoen erbij vanaf 2019. Het budget komt dan uit op bijna 15 miljoen euro. De vraag is of dat genoeg is. Een onderzoeksbureau schreef vorig jaar dat de Autoriteit in het gunstigste geval 19,5 miljoen en in het ongunstigste geval bijna 30 miljoen euro nodig heeft.

Nu al stijgt de druk: in de eerste vijf maanden zijn meer dan tienduizend telefoontjes met vragen en tips binnengekomen. Dat zijn er meer dan in heel 2017 en dan moet de verwachte vloed aan klachten nog komen. Op de twee locaties in Den Haag maken de AP’ers overuren.

‘Ons budget verdubbelt en in vergelijking met de rest van Europa is dat een forse investering, maar we gaan zeker nog verder groeien’, zegt Wolfsen. ‘Minister Dekker (voor Rechtsbescherming, red.) heeft gezegd dat ik bij hem terechtkan als het tegenvalt. Daar vertrouw ik dan ook op.’