"Frustrerend", "lachwekkend", "ongekend": de krachttermen vliegen rond als je ondernemers en organisaties vraagt naar het toezicht op privacywet AVG. De toezichthouder, Autoriteit Persoonsgegevens (AP), schiet zwaar tekort en kampt met enorme achterstanden. "Als iemand ons belt moeten we zeggen: er zijn nog 10.000 wachtenden voor u", zegt voorzitter Aleid Wolfsen. "Dat is onverantwoord lang."
De AP is verantwoordelijk voor het toezicht op de Algemene Verordening Persoonsgegevens (AVG), een privacywet die in 2018 werd ingevoerd in de Europese Unie. Maar van dat toezicht komt dus weinig terecht, of het gebeurt heel langzaam.
De kans dat bijvoorbeeld het vandaag door de NOS gemelde datalek bij autobedrijven wordt onderzocht, is heel klein. Van alle bij de AP gemelde datalekken, leidde in 2020 maar 0,15 procent tot onderzoek door de toezichthouder. Wolfsen: "Iedereen die klaagt, heeft gelijk."
'Bijna failliet' door onderzoek
Eén van die klagers is ondernemer Maarten Hoffer van VoetbalTV. Zijn bedrijf begon in 2018 met het streamen van amateurvoetbalwedstrijden. In dat jaar startte de AP een onderzoek om te beoordelen of VoetbalTV de privacywet overtreedt. Dat onderzoek nam zo'n anderhalf jaar in beslag.
"We hebben zelfs brieven naar de AP gestuurd om aan te geven: als het nog langer duurt, dan gaan we eraan failliet", aldus Hoffer. "En zelfs dat was niet genoeg om ervoor te zorgen dat zij hun termijnen gingen halen."
VoetbalTV vroeg inderdaad faillissement aan, maar werkt nu aan een doorstart. De rechter floot een boete van de AP terug, het hoger beroep in de zaak dient nog. Ondertussen ligt het bedrijf nog altijd stil. "Enorm frustrerend", zegt Hoffer.
Als het niet zo droevig is, zou het lachwekkend zijn.
De AP wijst al jaren naar een gebrek aan geld als verklaring voor het gebrekkige toezicht en de lange wachttijden. De toezichthouder heeft zo'n 180 fte's en jaarlijks 21 miljoen euro tot z'n beschikking. Accountantsbureau KPMG berekende onlangs dat de AP zeker 45 miljoen euro nodig heeft om de kerntaken uit te voeren. De AP zelf komt tot hogere getallen: "Ons werk neemt per dag toe, dus 400 mensen en 66 miljoen euro is echt het minimum van het minimum", zegt voorzitter Wolfsen.
Na het datalek bij de GGD stemde een Kamermeerderheid voor een budgetverhoging, maar minister Sander Dekker voor Rechtsbescherming laat de beslissing daarover aan een volgend kabinet. Hij weet niet hoeveel budget de AP daadwerkelijk nodig heeft. Volgens het KPMG-rapport is het namelijk onduidelijk hoe efficiënt de AP werkt. Ook stelt KPMG dat de bedrijfsvoering van de AP "in de kinderschoenen" staat.
Superwaakhond in Ierland slaapt
"Als het niet zo droevig is, zou het lachwekkend zijn", zegt Gerard Spierenburg van de Consumentenbond over de situatie bij de AP. Ook hij wacht al sinds 2018 op de toezichthouder. Toen diende hij namens zo'n 50.000 Nederlanders een klacht tegen Google in bij de privacywaakhond. Volgens de Consumentenbond verzamelt Google méér locatiegegevens van gebruikers van haar Android 9-besturingssysteem dan waarvoor zij toestemming geven.
Tweeëneenhalf jaar later is de Consumentenbond "geen steek verder". Spierenburg noemt het "ongekend" en "frustrerend".
De AP verwijst de Consumentenbond om de paar maanden naar Ierland, waar het Europese hoofdkantoor van Google zit. "We krijgen al tweeëneenhalf jaar nietszeggende berichten van de AP waarin wordt verwezen naar de Ierse toezichthouder", vertelt Spierenburg. Google zegt inmiddels verbeteringen te hebben doorgevoerd in de Android-besturingssystemen.
We hebben een fantastische Europese privacywet waaraan jaren gewerkt is. Maar de wet wordt niet gehandhaafd.
Omdat de AVG een Europese wet is, heeft ieder lidstaat een eigen waakhond, die toezicht houdt op de bedrijven in hun land. Zo vallen klachten over techreuzen met een hoofdkantoor in Dublin, zoals Google en Facebook, op het bord van de Ierse toezichthouder. Daarmee is dat de belangrijkste toezichthouder van Europa, maar sinds de invoering van de AVG in 2018 hebben de Ieren maar één boete tegen een groot techbedrijf opgelegd.
Eén Europese toezichthouder de oplossing?
De Ierse privacyvoorvechter Johnny Ryan ontdekte dat zelfs de eigen systemen van de Ierse waakhond niet aan de AVG voldoen. "We hebben een fantastische Europese privacywet waaraan jaren gewerkt is", aldus Ryan. "Maar de wet wordt niet gehandhaafd." De Consumentenbond probeert de AP nu via de rechter alsnog te dwingen zelf, in Nederland, te handhaven tegen Google.
Ook het Europees Parlement maak zich zorgen over de inactieve Ierse toezichthouder. Vanavond stemden de parlementariërs in met een motie waarin ze lidstaten oproepen toezichthouders beter te financieren.
Ondertussen pleiten sommige deskundigen voor één centrale Europese toezichthouder. "Een grensoverschrijdende toezichthouder voor complexe zaken zou een goed idee zijn", zegt Frederik Zuiderveen, hoogleraar ICT en privaatrecht. "Je kunt daar kennis centraliseren en Brusselse salarissen bieden." Ook de Duitse toezichthouder, die inmiddels publiekelijk z'n onvrede uit over de Ieren, pleit daarvoor.
