Dit zegt de Autoriteit Persoonsgegevens (AP) over haar kerntaak:

Alle mensen hebben recht op bescherming van hun persoonsgegevens. Het is zelfs een grondrecht. De Autoriteit Persoonsgegevens (AP) is de onafhankelijke toezichthouder in Nederland die zich sterk maakt voor dit recht. En die zorgt dat iedereen zich aan de privacywetgeving houdt.

Dit zegt het noyb over de Nederlandse toezichthouder:

Having imposed fines in 6.84% of all cases (counting both complaints and own-initiative investigations) between 2018 and 2023, the Slovakian DPA is leading the statistics. It is followed by Bulgaria (4.19%), Cyprus (3.12%), Greece (2.65%) and Croatia (2.54%). At the other end of the spectrum, the Dutch authority has issued fines in 0.03% (!) of all cases, closely followed by France (0.10%), Poland (0.18%), Finland (0.21%), Sweden (0.25%) and of course Ireland (0.26%).

Deze twee beelden, die van het AP en van nyob, liggen dus nogal ver uit elkaar. En daarom is het goed om te weten dat deze week een evaluatie is gepubliceerd (uitgevoerd in opdracht van de AP…), waar het FD over zegt Autoriteit Persoonsgegevens voert kerntaken niet goed uit:

De Autoriteit Persoonsgegevens laat steken vallen met de uitvoering van sommige van haar belangrijkste taken. Bedrijven krijgen daardoor soms onverwacht boetes. Ook duurt het veelal te lang voordat klachten over het gebruik van persoonsgegevens in behandeling worden genomen.

Voor het onderzoek werden onder andere privacyjuristen, ICT-bedrijven, banken en brancheverenigingen gevraagd hun visie te geven op de AP.

Dat de AP  steken laat vallen bij de uitvoering van haar taken lijkt me een ferm understatement tegen de achtergrond van de analyse van het noyb, maar misschien is het goed om de evaluatie eens nader te bekijken.

Deep dive
Laten we daarvoor wat dieper in de resultaten van dit evaluatieonderzoek duiken. Het onderzoek is tot stand gekomen via een onafhankelijke commissie, ingesteld door de AP:

Eind 2023 heeft het bestuur van de Autoriteit Persoonsgegevens de onafhankelijke Begeleidingscommissie Evaluatie Autoriteit Persoonsgegevens ingesteld en haar gevraagd een brede inhoudelijke evaluatie van de Autoriteit Persoonsgegevens uit te voeren. In dit document treft u bij wijze van samenvatting aan de aanbevelingen en adviezen van de Begeleidingscommissie, die mede op grond van het onderzoek uitgevoerd door de Tilburg University en Berenschot tot stand zijn gekomen.

En dit is dan de Begeleidingscommissie Evaluatie Autoriteit Persoonsgegevens:

Leden van de Begeleidingscommissie Evaluatie Autoriteit Persoonsgegevens

Het rapport van de Tilburg University en Berenschot, gepubliceerd op 31 oktober 2024, is hier te vinden.

Het rapport van de begeleidingscommissie, gepubliceerd op 26 november 2024, is hier te vinden.

Ik beperk me in deze blog posting tot de samenvatting van het rapport van de begeleidenscommissiem met enige annotatie van mijn kant:

1. Andere tijden, andere houding. Onze belangrijkste aanbeveling aan het bestuur van de AP is om zich ten opzichte van het Ministerie van J&V, andere toezichthouders en maatschappelijke organisaties ‘opener’ op te stellen in het contact. Dat geldt zowel voor de communicatie en de interactie als voor de bevordering van de bescherming en beveiliging van persoonsgegevens door gegevens verzamelende en verwerkende organisaties. [MD: ik had verwacht dat de eerste en belangrijkste aanbeveling zou zijn haar kerntaak serieus te nemen, maar nee, het schort de AP aan communicatie en empathie…]
2. In Nederland is de AP ingericht volgens de Kaderwet zbo’s, met ter bescherming van de volledige onafhankelijkheid de uitsluiting van een aantal bepalingen. Wij bevelen het bestuur van de AP aan ter versterking van de maatschappelijke verantwoording zowel als de kwaliteit van het eigen werk de Raad van Advies uit te breiden en qua functioneren zoveel mogelijk te beschouwen als een Raad van Toezicht. Ook bevelen wij aan een Maatschappelijke Commissie en een Wetenschappelijke Commissie in te stellen. [MD: wederom, niets over de kerntaak van de AP maar wat randvoorwaardelijk gereutel]
3. Het bestuur van de AP bestaat uit drie personen, maar omvat niet drie fte. Wij adviseren het bestuur de omvang van de personele inzet van het bestuur te heroverwegen in het licht van de groeiende omvang in menskracht en taken van de AP en daarbij ook de inzet in en voor de EDPB te betrekken. Bekijk daarbij ook de mogelijke inzet van een eventueel tijdelijk buitengewoon bestuurslid. [MD: niets over de kerntaak]
4. Het Ministerie van J&V is eigenaar en opdrachtgever van de AP. Wij adviseren het bestuur in overleg met J&V te bezien op welke manier de daaruit voortvloeiende rollen over en weer goed in balans gehouden kunnen worden. In dat kader kan ook besproken worden of J&V in de toekomst ook het ministerie is dat het meest aangewezen is voor de vervulling van de rollen van opdrachtgever en eigenaar. [MD: niets over de kerntaak wel over de relatie met het Ministerie van J&V]
5. In de evaluatie zijn bij de respondenten veel punten van klein en groot ongenoegen naar voren gekomen. Wij bevelen het bestuur van de AP aan hiervan goede nota te nemen en een plan op te stellen van wat in het functioneren van de AP als organisatie verbeterd zou kunnen worden in relatie tot de partijen waarop toezicht gehouden wordt of mee wordt samengewerkt, uiteraard met begrip voor het feit dat toezichthouders altijd enige weerstand oproepen bij de onder toezichtstaanden. De onafhankelijkheid van de AP blijft het uitgangspunt.  [MD: hete lucht]
6. De onzekerheid die we hebben moeten vaststellen over het antwoord op de vraag ‘wat wel en niet mag’ van de AP maakt naar onze mening duidelijk dat prioriteit gegeven moet worden aan de vaststelling van een duidelijker handhavings- en normoverdragingsbeleid zowel als aan een vorm van communicatie en informatie die sterker rekening houdt met het eigen karakter en de eigen identiteit van de partijen waar de communicatie zich op richt. [MD: hoewel veel te omfloerst weergegeven zit hier wel een relevant punt. Een correcte uitleg van de wet is tenslotte een vereiste]
7. De veelheid aan en het onderlinge verschil tussen de taken van de AP vraagt om een uitwerking per taak van de ambitie van de AP ‘maatschappelijk regisseur’ te willen zijn. Wij denken dat dit de AP kan helpen de eigen positie en per taak de daarvoor meest geëigende instrumenten en strategieën scherper te definiëren en zo ook de prioriteiten tussen de taken en binnen iedere taak nader te bepalen. [MD: gereutel in de marge]
8. De Functionarissen Gegevensbescherming zijn vitaal voor de uitvoering van de AVG. Wij adviseren de AP tot een nog sterkere betrokkenheid bij het werk en de positie van de FG’s, zowel ten opzichte van de FG’s zelf en hun werkgevers als binnen de organisatie van de AP. [MD: gereutel in de marge]
9. Hoewel de AP op dit gebied al de nodige activiteiten onderneemt of mogelijk maakt, bevelen wij de AP aan meer inzet te plegen op het gebied van onderwijs en onderzoek, bijvoorbeeld door het instellen van een of meer bijzondere leerstoelen of lectoraten. [MD: gereutel in de marge]
10. AI is met zijn recente start als onderwerp van aandacht van de AP in dit evaluatieonderzoek nog niet meegenomen. In de gesprekken met de respondenten kwam wel naar voren dat de rol van de AP op dit gebied niet voor iedereen vanzelfsprekend is, zeker niet wanneer het niet, zoals bij veel AI het geval is, om de bescherming van persoonsgegevens gaat. Inmiddels is er door het verschijnen van het gezamenlijke eindadvies ‘Toezicht op AI’ van RDI en AP over toezicht dat zowel sectoraal als centraal gecoördineerd moet zijn, al wat meer duidelijkheid gekomen over de taak van de AP. Op 17 november jl. stelde de minister van EZ in een brief aan de TK de AP ‘voor nu’ vast als een van de grondrechtenautoriteit van het gegevensbeschermingsrecht. Medio 2025 worden de nationale toezichthouders definitief aangewezen. Voor de AP ligt hier dus nog een uitdaging. [MD: gereutel in de marge]

Ik zou tien punten van de begeleidingscommissie willen vergelijken met de notulen van de klaverjasvereniging tijdens de hongerwinter van 1944: vol met wetenswaardigheden die tot geen enkele verhouding staan tot het werkelijke probleem. Laten we er even de door de AP gegeven cijfers over de jaren 2021 – 2023 eens bijhalen:

Feiten en cijfers over de AP

Groeicijfer laat de AP zien als het om het budget en het aantal fte gaat. Dalingen zijn op een groot aantal taak-gerelateerde aantallen te zien. Oftewel, met het groeien van de Autoriteit Persoonsgegevens krimpt de productiviteit. Mijn kouwe grond over de duim analyse. Want je hoeft geen Berenschot consultant of Tilburg University academicus te zijn om dit te kunnen constateren. En daarnaast had het noyb zich al van deze taak gekweten waardoor we weten dat de AP stijf onderaan staan als het gaat om de conversie van signaal naar boete.

Met dit advies wordt dus niets gedaan aan de effectiviteit van de AP. En dus blijft de consument onveranderd in de kou staan.