32 761 Verwerking en bescherming persoonsgegevens

Nr. 149 BRIEF VAN DE MINISTER VOOR RECHTSBESCHERMING

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 16 september 2019

Tijdens het algemeen overleg van 13 juni jongstleden sprak ik met uw Kamer over de bescherming van persoonsgegevens. Ik heb toegezegd u – zoals de motie van het lid Van Nispen verzoekt – inzicht te bieden in de taakuitbreiding en groeiscenario’s van de Autoriteit Persoonsgegevens (AP), het voorziene groeipad te schetsen en zo nodig een verklaring te geven voor dit eventuele verschil.¹ Tevens geef ik hiermee uitvoering aan de motie van het lid Verhoeven c.s. over de capaciteit en middelen voor de privacytoezichthouder, mede in het licht van de scenario’s AEF, ingediend tijdens de behandeling van de Uitvoeringswet algemene verordening gegevensbescherming (UAVG).²

Privacybescherming is belangrijk, omdat bedrijven en overheden grote hoeveelheden gegevens verwerken die te herleiden zijn tot personen, zoals medische of financiële gegevens. In een vrije, democratische samenleving moeten mensen erop kunnen vertrouwen dat organisaties zorgvuldig omgaan met hun gegevens. Samen met de AP werk ik aan deze opgave.

De AP in transitie

De AVG heeft ertoe geleid dat er veranderingen zijn opgetreden in de bescherming van persoonsgegevens en het toezicht daarop. Met de invoering van de AVG heeft de AP een toename in taken gekregen. Het jaar 2018 betekende voor de AP een jaar van transitie. Niet alleen wettelijk, maar ook organisatorisch heeft dit veranderingen gebracht. De AP heeft eigen rechtspersoonlijkheid verworven, diverse interne ontwikkelingen ingezet en een stevige personele groei doorgemaakt.

Het toezicht van de AP omvat zowel multinationals, als overheden, bedrijven, ZZP’ers en verenigingen. In de kern is het werk van de AP terug te brengen tot een twintigtal wettelijke taken. Deze lopen uiteen van het behandelen van klachten, datalekmeldingen, tot het geven van voorlichting, wetgevingsadviezen, onderzoek, handhavend optreden en internationaal werk als gevolg van taken van de European Dataprotection Board.

In 2017, voorafgaand aan de inwerkingtreding van de AVG, heeft adviesbureau Andersson Elffers Felix (AEF) in opdracht van de AP de consequenties van de AVG voor het budget en de capaciteit van de AP onderzocht. AEF heeft op basis van verschillende aannames de consequenties van de verordening uitgewerkt in drie scenario’s voor het benodigde budget, te weten: een scenario laag (€ 19,6 miljoen) een scenario midden (€ 23,7 miljoen) en een scenario hoog (€ 29,4 miljoen). AP heeft die prognose recent laten herijken, waarbij de consequenties van de AVG voor het benodigde budget en capaciteit van de AP zijn geraamd op € 21,6 miljoen in 2019 oplopend naar € 27,8 miljoen in 2022. De in opdracht van de AP ontwikkelde scenario’s gaan logischerwijs uit van verschillende aannames en veronderstellingen en het is van belang te bezien hoe een en ander in de praktijk uitwerkt en of ontwikkelingen al dan niet bestendigen.

Eerste ervaringen met AVG positief, maar ook nog uitdagingen

Inmiddels heeft de AP ruim een jaar ervaring met de AVG. Het toezicht van de AP is goed op stoom gekomen, evenals de bekendheid van de AP in Nederland. Op 9 september 2019 heeft de AP cijfers over het eerste halfjaar 2019 naar buiten gebracht, waaruit blijkt dat het aantal privacyklachten toeneemt: ruim 15.000 mensen hebben in de eerste zes maanden van 2019 een klacht ingediend bij de AP.³ Daarnaast blijkt de AP een voorloper in Europees verband. Zo is de AP relatief vaak de leidende toezichthouder voor klachten en neemt ze veelal een eerste, tweede of derde positie in binnen de EU als het gaat om het bevorderen van bekendheid met de AVG en de toezichthouder.⁴

De AP ervaart knelpunten en risico’s in deze fase van de implementatie van de AVG. Mogelijk zal blijken dat een aantal knelpunten incidenteel is. Indicaties daarvoor kunnen zijn een verwachte afname van de werkdruk door goed opgeleide nieuwe werknemers en een dalend ziekteverzuim. Knelpunten kunnen echter ook langduriger aanhouden of structureel blijken.

De klachteninstroom blijft bijvoorbeeld aanzienlijk hoger dan voorzien: de AP verwacht 28.000 klachten in 2019 ten opzichte van 15.600 klachten in 2018. Hierdoor is er sprake van een verder oplopende werkvoorraad van nu ruim 3.000 klachten. Ook stijgt het aantal datalekmeldingen ten opzichte van 2018 (van 20.000 naar 24.000).⁵

Een derde knelpunt dat de AP ervaart is dat met het van kracht worden van de AVG het aantal aanvragen voor goedkeuring van zogenaamde Binding Corporate Rules (BCR’s) is gestegen. De toestroom is zodanig dat een wachttijd is ontstaan van 3 tot 5 jaar, die als gevolg van de Brexit nog verder kan toenemen. Een toename van wachttijden geldt ook voor voorafgaande raadplegingen, gedragscodes en goedkeuring van certificeringsschema’s.

Op het gebied van sanctionering, Europese samenwerking en systeemtoezicht heeft de AP minder capaciteit ingezet.

Budget AP

Om de taken uit de AVG te kunnen uitvoeren is bij de implementatie van de AVG in de Uitvoeringswet AVG voor 2018 en volgende jaren € 7 miljoen structureel toegevoegd aan het budget van de AP. Tijdens de behandeling van de wet heb ik aan uw Kamer aangegeven de ontwikkelingen rondom de AVG en de gevolgen voor de capaciteit en het budget van de AP nauwlettend te volgen en hierover het gesprek met de AP te voeren.⁶Uitkomst van de gesprekken daarover is voor 2019 geweest dat ik bij Voorjaarsnota 2019 heb besloten de AP een extra budget van € 3,4 miljoen, inclusief loonbijstelling, toe te kennen. Daarmee bedraagt het budget van de AP voor 2019 en volgende jaren € 18,6 miljoen. Het budget van de AP is daarmee hoger dan dat van landen als Frankrijk en Spanje.⁷

Bij de toekenning van het budget voor de AP is er rekening mee gehouden dat het eerste jaar na de invoering van de AVG onvoldoende representatief is als basis voor de bepaling van structurele financiering. Enerzijds is de instroom aan zaken nog niet uitgekristalliseerd. Anderzijds is een deel van de lasten incidenteel als gevolg van de forse groei van de organisatie in korte tijd en het nog niet optimaal ingericht zijn van de werkprocessen. Daarnaast moet rekening worden gehouden met het absorptievermogen van de AP. De AP kan niet alles tegelijk oppakken en moet – net als overigens alle andere organisaties in het domein van Justitie en Veiligheid – prioriteiten stellen bij de bestemming van schaarse middelen.

Verder onderzoek noodzakelijk

Inmiddels beschikken we over cijfers en ervaringen van het eerste jaar na de invoering van de AVG. De organisatie van de AP heeft het afgelopen jaar ervaring opgedaan met de nieuwe werkprocessen en een groot aantal nieuwe medewerkers kunnen inwerken. Daardoor ontstaat een steeds beter beeld van wat de AP nodig heeft voor een goede taakvervulling. De AP en ik hebben dan ook afgesproken dat we een gezamenlijk extern onderzoek starten naar de grondslagen van de financiering van de AP, de omvang van het budget en de risico’s behorende bij de verschillende scenario’s. Daarbij wordt ook gekeken naar efficiencyverbetering die mogelijk nog kan worden behaald, bijvoorbeeld door verdere stroomlijning van werkprocessen, de inzet van technologie en innovatiemogelijkheden. Ook kijken we naar mogelijke alternatieve wijzen van financiering, zoals het heffen van leges voor de behandeling van BCR’s. Met dit onderzoek willen we komen tot een gedeeld beeld van een gezonde financiële basis voor de uitoefening door de AP van haar wettelijke taken. Daarbij betrekken we ook een vergelijking met de toerusting van collega-privacytoezichthouders in Europa.

Over de uitkomsten van dit onderzoek verwacht ik u begin 2020 te kunnen berichten.

De Minister voor Rechtsbescherming, S. Dekker

---

1 Motie van het lid Van Nispen, Kamerstuk 32 761, nr. 139.

2 Motie van het lid Verhoeven c.s., Kamerstuk 34 851, nr. 23.

3 Circa 1/3e van het genoemde aantal is een echte privacyklacht die op grond van de AVG in behandeling moet worden genomen.

4 EU barometer: onderzoek uitgevoerd door TNS NIPO naar onder andere het percentage respondenten dat bekend is met de AVG in het algemeen en met de rechten die het beschermt in het bijzonder en de bekendheid met de Autoriteit Persoonsgegevens.

5 De meldplicht datalekken is op 1 januari 2016 ingegaan en stamt dus al van voor de AVG.

6 Handelingen II 2017/18, nr. 59, item 4.

7 Het budget van de toezichthouder in Frankrijk bedraagt € 17 miljoen, in Spanje € 15,5 miljoen en in Zweden € 8,3 miljoen.