Afgelopen jaar ontving de Autoriteit Persoonsgegevens 25.590 privacyklachten van burgers, bedrijven en andere organisaties. De toezichthouder is met de huidige capaciteit niet in staat om al deze klachten te onderzoeken. Daarnaast liggen er ook nog eens 10.000 klachten op de plank die nog in behandeling moeten worden genomen. Dat zijn er ‘zorgelijk veel’.
Dat zegt Aleid Wolfsen, bestuursvoorzitter van de Autoriteit Persoonsgegevens, tegenover dagblad Trouw. Hij stelt dat er nog een hoop misgaat op privacygebied.
AP niet in staat om alle klachten af te handelen
Ruim 25.000 burgers klopten afgelopen jaar aan bij de Autoriteit Persoonsgegevens om een privacyschending aan de kaak te stellen. Het aantal meldingen lag vorig jaar iets lager dan in 2019, toen de toezichthouder 27.850 klachten ontving. In 2018 bedroeg aan het aantal privacyklachten ‘slechts’ 15.600.
Ondanks de daling is er geen reden om te juichen. Volgens Wolfsen is de daling te verklaren doordat de klachtenlijn minder goed bereikbaar was vanwege onderbezetting. Ook communiceerde de organisatie actief dat het gemiddeld een half jaar duurt voordat een privacyklacht in behandeling wordt genomen. Wellicht heeft dit Nederlanders afgeschrikt om een klacht in te dienen. Wolfsen is bang dat men het vertrouwen in de Autoriteit Persoonsgegevens verliest. “Mensen moeten niet gaan denken dat klagen geen zin heeft”, aldus de bestuursvoorzitter.
Wolfsen noemt de klachten ‘uiterst zorgwekkend’. “Zo’n cijfer is natuurlijk abstract, maar de verhalen daarachter zijn pijnlijk concreet. Achter elke klacht kan een drama schuilen, met per geval vele slachtoffers.”
Wolfsen: ‘We kunnen niet aan onze wettelijke verplichting voldoen’
De privacywaakhond is wettelijk verplicht om alle klachten in behandeling te nemen. Daarvoor ontbreekt echter de capaciteit. Op dit moment zijn er 184 fulltime banen bij de toezichthouder. Om alles goed af te handelen, zijn er 470 fulltime banen nodig. Door het personeelstekort kreeg een vijfde van de melders afgelopen jaar te horen dat er geen onderzoek wordt ingesteld naar zijn klacht. Een pijnlijke constatering, zo vindt Wolfsen. “Het ministerie stelt ons met het huidige budget niet in staat om aan onze wettelijke verplichting te voldoen. Dat terwijl het hier gaat om mogelijke slachtoffers van wie de grondrechten worden geschonden”, vertelt hij tegenover Trouw.
Er is één lichtpuntje: niet alle klachten die worden ingediend zijn terecht. In een derde van de gevallen wordt de klacht niet goed beschreven of onvoldoende bewijsmateriaal aangeleverd. In deze gevallen verklaart de toezichthouder de klacht ongegrond en wordt hij niet in behandeling genomen. Dat wil niet automatisch zeggen dat de werkdruk ineens een stuk lager ligt. Medewerkers moeten tijd en energie steken in de zaak om te concluderen dat een klacht ongegrond is.
Toezichthouder legde vorig jaar te weinig boetes op
Boven op de privacyklachten die de Autoriteit Persoonsgegevens vorig jaar ontving, wachten nog eens een kleine 10.000 klachten op behandeling. Doordat de toezichthouder onvoldoende tijd, geld en personeel heeft, worden er te weinig boetes uitgeschreven aan organisaties die de Europese privacyregels overtreden. Afgelopen jaar deelde de AP drie berispingen en vier boetes uit. Te weinig, vindt Wolfsen. Hij zegt dat er nog enkele boetes aankomen, maar waarschuwt voor bedrijven die gaan ‘kansberekenen’: hoe groot is de kans dat de toezichthouder optreedt als ik de privacyregels overtreed?.
Afgelopen jaar kregen de Koninklijke Nederlandse Lawn Tennisbond (KNLTB) en een bedrijf dat vingerafdrukken verzamelde van medewerkers een sanctie opgelegd van respectievelijk 525.000 euro en 725.000 euro. Stichting Bureau Kredietregistratie (BKR) kreeg een boete van 830.000 euro, omdat burgers slechts één keer per jaar kosteloos hun gegevens mochten inzien. Tot slot legde de toezichthouder een boete van 575.000 euro op aan VoetbalTV voor het onrechtmatig verwerken van persoonsgegevens.
Afgelopen februari legde de Autoriteit Persoonsgegevens een boete van 440.000 euro op aan het Onze Lieve Vrouwe Gasthuis (OLVG). De toezichthouder vond dat het Amsterdamse ziekenhuis jarenlang onvoldoende maatregelen nam om ongeautoriseerde toegang tot medische dossiers te voorkomen. Ook paste het ziekenhuis geen multifactorauthenticatie om de dossiers te beveiligen.
AP krijgt voorlopig geen extra geld en personeel
Het is niet de eerste keer dat de Autoriteit Persoonsgegevens de noodklok luidt. In een interview met Trouw sprak Aleid Wolfsen van ‘lachwekkende achterstanden’. Begin februari vertelde vicevoorzitter Katja Mur tijdens een overleg in de Tweede Kamer dat de AP slechts 0,4 procent van alle privacyklachten afhandelt. En slechts 0,3 procent van alle gemelde datalekken wordt daadwerkelijk onderzocht.
Een week na het overleg nam de Tweede Kamer met een ruime meerderheid een motie aan waarin de Kamer het kabinet vroeg om meer geld vrij te maken voor de toezichthouder om twee keer zoveel mensen in dienst te kunnen nemen. Ondanks de nadrukkelijke wens van de Tweede Kamer, zei minister voor Rechtsbescherming Sander Dekker de motie niet te zullen uitvoeren.
Volgens de minister ontbreekt een gedegen onderbouwing van de benodigde financiële middelen. Ook grijpt hij de demissionaire status van het kabinet aan om de motie naast zich neer te leggen. “Investeringen als deze vragen om fundamentele beleidskeuzes die aan een volgend kabinet zijn. Ik laat de besluitvorming over de uitvoering van deze motie daarom over aan een volgend kabinet”, aldus minister Dekker.
