Brief regering : Taken en budgetontwikkelling Autoriteit Persoonsgegevens (AP)

Nr. 149 BRIEF VAN DE MINISTER VOOR RECHTSBESCHERMING

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 16 september 2019

Tijdens het algemeen overleg van 13 juni jongstleden sprak ik met uw Kamer over de
bescherming van persoonsgegevens. Ik heb toegezegd u – zoals de motie van het lid
Van Nispen verzoekt – inzicht te bieden in de taakuitbreiding en groeiscenario’s van
de Autoriteit Persoonsgegevens (AP), het voorziene groeipad te schetsen en zo nodig
een verklaring te geven voor dit eventuele verschil.1 Tevens geef ik hiermee uitvoering aan de motie van het lid Verhoeven c.s. over de
capaciteit en middelen voor de privacytoezichthouder, mede in het licht van de scenario’s
AEF, ingediend tijdens de behandeling van de Uitvoeringswet algemene verordening gegevensbescherming
(UAVG).2

Privacybescherming is belangrijk, omdat bedrijven en overheden grote hoeveelheden
gegevens verwerken die te herleiden zijn tot personen, zoals medische of financiële
gegevens. In een vrije, democratische samenleving moeten mensen erop kunnen vertrouwen
dat organisaties zorgvuldig omgaan met hun gegevens. Samen met de AP werk ik aan deze
opgave.

De AP in transitie

De AVG heeft ertoe geleid dat er veranderingen zijn opgetreden in de bescherming van
persoonsgegevens en het toezicht daarop. Met de invoering van de AVG heeft de AP een
toename in taken gekregen. Het jaar 2018 betekende voor de AP een jaar van transitie.
Niet alleen wettelijk, maar ook organisatorisch heeft dit veranderingen gebracht.
De AP heeft eigen rechtspersoonlijkheid verworven, diverse interne ontwikkelingen
ingezet en een stevige personele groei doorgemaakt.

Het toezicht van de AP omvat zowel multinationals, als overheden, bedrijven, ZZP’ers
en verenigingen. In de kern is het werk van de AP terug te brengen tot een twintigtal
wettelijke taken. Deze lopen uiteen van het behandelen van klachten, datalekmeldingen,
tot het geven van voorlichting, wetgevingsadviezen, onderzoek, handhavend optreden
en internationaal werk als gevolg van taken van de European Dataprotection Board.

In 2017, voorafgaand aan de inwerkingtreding van de AVG, heeft adviesbureau Andersson
Elffers Felix (AEF) in opdracht van de AP de consequenties van de AVG voor het budget
en de capaciteit van de AP onderzocht. AEF heeft op basis van verschillende aannames
de consequenties van de verordening uitgewerkt in drie scenario’s voor het benodigde
budget, te weten: een scenario laag (€ 19,6 miljoen) een scenario midden (€ 23,7 miljoen)
en een scenario hoog (€ 29,4 miljoen). AP heeft die prognose recent laten herijken,
waarbij de consequenties van de AVG voor het benodigde budget en capaciteit van de
AP zijn geraamd op € 21,6 miljoen in 2019 oplopend naar € 27,8 miljoen in 2022. De
in opdracht van de AP ontwikkelde scenario’s gaan logischerwijs uit van verschillende
aannames en veronderstellingen en het is van belang te bezien hoe een en ander in
de praktijk uitwerkt en of ontwikkelingen al dan niet bestendigen.

Eerste ervaringen met AVG positief, maar ook nog uitdagingen

Inmiddels heeft de AP ruim een jaar ervaring met de AVG. Het toezicht van de AP is
goed op stoom gekomen, evenals de bekendheid van de AP in Nederland. Op 9 september
2019 heeft de AP cijfers over het eerste halfjaar 2019 naar buiten gebracht, waaruit
blijkt dat het aantal privacyklachten toeneemt: ruim 15.000 mensen hebben in de eerste
zes maanden van 2019 een klacht ingediend bij de AP.3 Daarnaast blijkt de AP een voorloper in Europees verband. Zo is de AP relatief vaak
de leidende toezichthouder voor klachten en neemt ze veelal een eerste, tweede of
derde positie in binnen de EU als het gaat om het bevorderen van bekendheid met de
AVG en de toezichthouder.4

De AP ervaart knelpunten en risico’s in deze fase van de implementatie van de AVG.
Mogelijk zal blijken dat een aantal knelpunten incidenteel is. Indicaties daarvoor
kunnen zijn een verwachte afname van de werkdruk door goed opgeleide nieuwe werknemers
en een dalend ziekteverzuim. Knelpunten kunnen echter ook langduriger aanhouden of
structureel blijken.

De klachteninstroom blijft bijvoorbeeld aanzienlijk hoger dan voorzien: de AP verwacht
28.000 klachten in 2019 ten opzichte van 15.600 klachten in 2018. Hierdoor is er sprake
van een verder oplopende werkvoorraad van nu ruim 3.000 klachten. Ook stijgt het aantal
datalekmeldingen ten opzichte van 2018 (van 20.000 naar 24.000).5

Een derde knelpunt dat de AP ervaart is dat met het van kracht worden van de AVG het
aantal aanvragen voor goedkeuring van zogenaamde Binding Corporate Rules (BCR’s) is
gestegen. De toestroom is zodanig dat een wachttijd is ontstaan van 3 tot 5 jaar,
die als gevolg van de Brexit nog verder kan toenemen. Een toename van wachttijden
geldt ook voor voorafgaande raadplegingen, gedragscodes en goedkeuring van certificeringsschema’s.

Op het gebied van sanctionering, Europese samenwerking en systeemtoezicht heeft de
AP minder capaciteit ingezet.

Budget AP

Om de taken uit de AVG te kunnen uitvoeren is bij de implementatie van de AVG in de
Uitvoeringswet AVG voor 2018 en volgende jaren € 7 miljoen structureel toegevoegd
aan het budget van de AP. Tijdens de behandeling van de wet heb ik aan uw Kamer aangegeven
de ontwikkelingen rondom de AVG en de gevolgen voor de capaciteit en het budget van
de AP nauwlettend te volgen en hierover het gesprek met de AP te voeren.6Uitkomst van de gesprekken daarover is voor 2019 geweest dat ik bij Voorjaarsnota
2019 heb besloten de AP een extra budget van € 3,4 miljoen, inclusief loonbijstelling,
toe te kennen. Daarmee bedraagt het budget van de AP voor 2019 en volgende jaren € 18,6 miljoen.
Het budget van de AP is daarmee hoger dan dat van landen als Frankrijk en Spanje.7

Bij de toekenning van het budget voor de AP is er rekening mee gehouden dat het eerste
jaar na de invoering van de AVG onvoldoende representatief is als basis voor de bepaling
van structurele financiering. Enerzijds is de instroom aan zaken nog niet uitgekristalliseerd.
Anderzijds is een deel van de lasten incidenteel als gevolg van de forse groei van
de organisatie in korte tijd en het nog niet optimaal ingericht zijn van de werkprocessen.
Daarnaast moet rekening worden gehouden met het absorptievermogen van de AP. De AP
kan niet alles tegelijk oppakken en moet – net als overigens alle andere organisaties
in het domein van Justitie en Veiligheid – prioriteiten stellen bij de bestemming
van schaarse middelen.

Verder onderzoek noodzakelijk

Inmiddels beschikken we over cijfers en ervaringen van het eerste jaar na de invoering
van de AVG. De organisatie van de AP heeft het afgelopen jaar ervaring opgedaan met
de nieuwe werkprocessen en een groot aantal nieuwe medewerkers kunnen inwerken. Daardoor
ontstaat een steeds beter beeld van wat de AP nodig heeft voor een goede taakvervulling.
De AP en ik hebben dan ook afgesproken dat we een gezamenlijk extern onderzoek starten
naar de grondslagen van de financiering van de AP, de omvang van het budget en de
risico’s behorende bij de verschillende scenario’s. Daarbij wordt ook gekeken naar
efficiencyverbetering die mogelijk nog kan worden behaald, bijvoorbeeld door verdere
stroomlijning van werkprocessen, de inzet van technologie en innovatiemogelijkheden.
Ook kijken we naar mogelijke alternatieve wijzen van financiering, zoals het heffen
van leges voor de behandeling van BCR’s. Met dit onderzoek willen we komen tot een
gedeeld beeld van een gezonde financiële basis voor de uitoefening door de AP van
haar wettelijke taken. Daarbij betrekken we ook een vergelijking met de toerusting
van collega-privacytoezichthouders in Europa.

Over de uitkomsten van dit onderzoek verwacht ik u begin 2020 te kunnen berichten.

De Minister voor Rechtsbescherming, S. Dekker