De Autoriteit Persoonsgegevens (AP) krijgt er volgend jaar geen geld bij en moet het weer doen met € 25 miljoen, ondanks het feit dat de Tweede Kamer twee moties aannam om het budget te verhogen. Lokke Moerel, hoogleraar Global ICT Law en advocaat bij Morrison & Foerster, vindt de bevriezing van het budget onbegrijpelijk. ‘Dit is een politieke keuze, maar het is funest voor het vestigingsklimaat in Nederland. Het is nu tijd dat de AP haar prioriteiten verlegt.’
Hoe erg is het dat de AP er geen geld bij krijgt?
‘De AP kan nu een aantal taken niet uitoefenen. Zij heeft een duale rol: de bevoegdheid om handhavend op te treden tegen inbreuken, waar nu het meeste geld naartoe gaat. En taken zoals het autoriseren van interne gedragscodes van multinationals om wereldwijd data te kunnen uitwisselen, de “binding corporate rules”. Als je hoofdkantoor hier zit, dan is de AP je leidende autoriteit en kun je hiervoor nergens anders naartoe. Maar de AP heeft een jarenlange wachtlijst. Dat is slecht voor het vestigingsklimaat. Als de AP bepaalde plichten niet uitvoert, terwijl bedrijven dat nodig hebben om te functioneren, dan is dat onacceptabel.’
U heeft net een open brief getekend met een oproep. Wat staat daarin?
‘Ja, dat is een oproep om datalekmeldingen te ontsluiten voor wetenschappelijk onderzoek. De AP kreeg in 2020 bijna 24.000 datalekmeldingen. Een potentiële goudmijn voor onderzoek en beleid, maar de data blijft nu in een digitale bureaula liggen. De Verenigde Staten ontsluiten deze informatie wel in een dashboard, te vergelijken met het Coronadashboard. De AP wil wel meewerken aan het vrijgeven van de data, maar dat kost € 177.000 en dat geld heeft de organisatie niet. Iedereen klaagt dat er niet genoeg informatie wordt uitgewisseld, niet genoeg onderzoek wordt gedaan. En dan loopt het stuk op dat bedrag. Echt “penny wise, pound foolish”, zoals de Engelsen zeggen.’
Wat zijn de gevolgen?
‘Bedrijven klagen steen en been. Door de Brexit verplaatsten extra bedrijven hun Europese hoofdkantoor naar Nederland. Ook zij hebben assistentie nodig van de AP, waardoor de wachtrij alleen maar langer wordt. Ondertussen krijgt de AP er steeds meer taken bij. Bij nieuwe wetgeving, zoals in de coronacrisis, heeft de AP adviestaken en die raken steeds vaker de privacy van burgers. Al met al heeft de AP gewoon onvoldoende mensen. Dat blijkt uit elk onderzoeksrapport erover. Het resultaat is dat de AP bepaalde taken niet goed doet en dat bedrijven nergens naartoe kunnen. Dat doet afbreuk aan de internationale positie van Nederland.’
En aan de positie van de AP?
‘Ja. De AP was een van de toonbepalende autoriteiten van Europa. Maar dat is echt veranderd. De achterstanden lopen alleen maar op. Bedrijven willen een betrouwbare en voorspelbare autoriteit. Dat is de AP nu niet.’
Andere toezichthouders in Nederland krijgen meer geld. Waarom de AP niet?
‘Er liggen genoeg rapporten dat de AP het geld wel nodig heeft, dus het is duidelijk een politieke keuze. Het lijkt erop dat de politiek vindt dat de AP haar prioriteiten niet goed stelt. Dat er te veel geld en capaciteit naar handhaving gaat, en te weinig naar dienstverlening.’
Wat moet er volgens u gebeuren?
‘De AP heeft sterk ingezet op verhoging van het budget. Nu ze geen extra geld krijgt, moet ze haar geld anders inzetten dan ze nu doet, en middelen vrijmaken voor het uitvoeren van taken waarvoor organisaties haar nodig hebben. De AP zou niet elke klacht moeten opvolgen, maar achter de grote, trendsettende inbreuken aan moeten gaan. Dat heeft precedentwerking voor problemen in de maatschappij die groter zijn dan dat incident. En als bedrijven zich met interne codes goed kunnen reguleren, dan heeft dat veel impact op de privacybescherming van burgers. Dan gaat dat echt beter.’
