Autoriteit Persoonsgegevens maakt zich langzaam los uit houdgreep overheid

De Autoriteit Persoonsgegevens(AP) is onafhankelijk toezichthouder op alle verwerkingen van persoonsgegevens binnen Nederland. Tot begin 2019 was de AP nauwelijks te betrappen op een ferm, onafhankelijk standpunt ten aanzien van bewindslieden in het kabinet, ministeries en instituties met een sterke relatie met die overheid. Onafhankelijk, maar gefinancierd vanuit het ministerie van Justitie en Veiligheid, had ze door een beperkt budget vaak ook maar een zeer beperkte slagkracht. Met het ingaan van de Algemene Verordening Gegevensbescherming(AVG) op 25 mei 2018 kreeg de AP door de Uitvoeringswet AVG  krachtiger instrumenten in handen om handelend op te treden, zowel richting burgers maar ook richting overheidsinstantie of -orgaan. De AP kreeg daarmee de mogelijkheid om substantiële boetes op te leggen en zelfs bestuurlijke boetes uit te delen. Eind 2019 en in het eerste half jaar van 2020 zie ik de AP fermere standpunten innemen richting centrale overheid die haar voorheen in een houdgreep had.

Boetes

Het fermer optreden zien we terug in het opleggen van forse boetes aan bedrijven en organisaties. Zo  kreeg taxi-onderneming Über eind 2018 een boete van 600.000 euro vanwege een verzwegen mega-datalek. Het Haga-ziekenhuis in Den Haag kreeg vorig jaar een boete van 460.000 euro wegens de slechte beveiliging van patiëntgegevens. Tennisbond KNLTB werd in maart 2020 aangeslagen voor 525.000 euro. Contactgegevens van leden bleken voor marketingdoeleinden te worden verkocht aan een online tenniswinkel en een loterij. Ook beboette de AP een bedrijf met 725.000 euro vanwege het afnemen van vingerafdrukken van werknemers om hun werktijden te registreren. Afgelopen  week nog kreeg het Bureau Krediet Registratie een boete van 830.00 euro omdat die geld vroeg voor digitale inzage van vastgelegde gegevens.

Berisping

Daarnaast kreeg de organisatie Akwa GGZ(Alliantie Kwaliteit in de Geestelijke Gezondheidszorg )een berisping het verwerken van persoonsgegevens over de gezondheid. Het betrof een eindpunt in een slepende zaak rond onvoldoende geanonimiseerde medische gegevens(ROM-data), zijnde bijzondere persoonsgegeven. De uitspraak was opvallend omdat die tegen een aanzienlijk belang van  het ministerie van VWS inging. Die stuurt al lange tijd via omwegen aan op het gebruik van genoemde data voor zogenaamde kwaliteitsmeting en -bevordering.

Zelfbewuster tegen VWS

Sinds maart dit jaar is het duidelijk dat de AP zich evident ontworstelt uit de voorheen beknellende houdgreep van ministeries. Tijdens de appathon om een corona-track-and-trace-app te maken in het weekend van op 18 en 19 april 2020, georganiseerd door de top van het ministerie van VWS, keken medewerkers van de AP, waaronder mr.dr. M.Ramlal, hoofd systeemtoezicht, permanent mee. Al op 20 april 2020 laat de AP een zeer gedetailleerd rapport erover verschijnen met als conclusie dat geen van de uitverkoren apps de toets der kritiek van de AP kon doorstaan. Daarna deden zich nog twee voorvallen voor in het kader van de corona-problematiek. Het betreft namelijk het voorstel van de regering, ingediend door minister Hugo de Jonge van VWS om de Telecom-wet te wijzigen teneinde mobiliteitsdata van burgers te verkrijgen.

Telecom-wet

Begin mei 2020 had Hugo de  Jonge een aanvaring met de AP over het voornemen van het gebruik van Telecom-data door het RIVM.   Nog voordat de AP een oordeel gaf liet hij in een brief aan de Tweede Kamer weten dat de AP akkoord ging met dit delen van Telecom-data. Hetgeen niet zo was. Het veroorzaakte nogal wat consternatie. Daarna moest de Jonge zijn woorden intrekken en moest hij op het advies van de AP opvolgen om er een serieus wetswijzigingsvoorstel voor te maken. Dit voorstel ondervindt nu op 3 juli 2020 weer ondubbelzinnige kritiek en een afwijzing door de AP. De voorzitter van de AP. Aleid Wolfsen, maakt er in de pers op de laatste dag voor het zomerreces van de Tweede Kamer een duidelijk punt over.

AP en belastingdienst(1)

Richting de belastingdienst is de AP sinds het ingaan van de AVG in 2018 zeer kritisch bezig.  Knarsetandend moest de AP toezien hoe de belastingdienst pas een jaar na het ingaan van de AVG haar systemen AVG-proof had ingericht. Dat was een overheidsdienst onwaardig. Daarnaast was de AP nog niet al te daadkrachtig om het gebruik van het BSN in het BTW-nummer van eenmanszaken te doen stoppen. In 2018 constateert de AP dat zoiets niet kan. Om te zeggen dat de belastingdienst tot 1 januari 2019 de tijd had om het aan te passen en pas per 1 januari 2020 een verbod aan te kondigen. Je ziet ze gewoon niet durven doorpakken.

AP en belastingdienst(2)

Ondertussen startte in 2019 i.v.m. de toeslagenaffaire een onderzoek door de AP naar de verwerking van bijzondere persoonsgegevens zoals nationaliteit bij de Belastingdienst. Daar komt nog een oordeel over. Zeer recent maakte de AP duidelijk dat zij bijzonder verontrust is over de vermoedelijke niet-naleving van de AVG inzake de Fraude Signaleringsvoorziening(FSV) van de belastingdienst, een applicatie om signalen van vermoedens van fraude mee te registreren. Bestuurslid C.E. Mur laat namens de AP aan Staatssecretaris van Financiën Hans Vijlbrief dan ook weten dat de AP ernstige zorgen heeft over het niet naleven van de AVG binnen de belastingdienst. En zegt er en passant bij dat de AP het FSV-gebeuren geen op zich zelf staand incident vindt.  Er tekent zich hier ook een duidelijke stellingname richting een overheidsorgaan af door de AP.

Lofwaardig en geloofwaardig

Het is te prijzen dat de AP met de AVG in de hand thans veel duidelijker stelling lijkt te nemen richting de hand die haar voedt, namelijk de rijksoverheid. Het is iets wat ook de geloofwaardigheid van de AP in de ogen van de burgers verder ten goede zal komen.

Een toezichthouder die onder één hoedje met de rijksoverheid speelt is de spreekwoordelijke dood in de pot.

W.J. Jongejan, 14 juli 2020

Afbeelding van Mirko Zax via Pixabay